rapport d'information fait au nom de la mission d'information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne » — Auditions

L’indispensable feuille de route nationale et européenne que nous appelons de nos vœux doit aussi prévoir selon quelles modalités, à l’avenir, s’opéreront les justifications d’identité, les connexions, l’envoi de données, la maîtrise des interconnexions entre différentes entités, en somme, comment le risque cyber sera géré. On parle souvent de boîte à outils 5G. Que signifie concrètement ce terme ? Comment le fonds de relance européen se décline-t-il au niveau national ? Comment développer le volet technologique de manière à ce qu’on puisse se saisir des leviers aujourd’hui disponibles, souvent réglementaires et en tout cas légaux, afin d’aboutir à une réalisation concrète que tout le monde soit en mesure d’utiliser ?

M. Guillaume Vassault-Houlière. Les enjeux du numérique, dont la cybersécurité, concernent tous les pans de la société. Nous disposons de tous les leviers et de tous les acteurs voulus, sans même parler de l’intelligence collective, pour avancer dans la bonne direction. Il ne reste plus qu’à donner un coup d’accélération au processus.

Il faut continuer, surtout, à prôner la cohésion. Ensemble, nous sommes plus forts. La remarque vaut pour l’Europe, mais pas seulement. La transparence revêt une importance cruciale. Il faut faire confiance à la communauté de passionnés de cybersécurité que nous défendons depuis des années et dont je fais moi-même partie.

Je salue tous ceux qui mettent du cœur à l’ouvrage pour sécuriser les différentes infrastructures en gardant leur esprit critique constructif. Il faut continuer à démystifier la profession de hacker pour que tout le monde comprenne que ce merveilleux métier conviendra à tous ceux qui ont soif d’apprendre au quotidien, à base d’échanges, car il ne s’agit pas d’œuvrer seul dans son coin.

Notre communauté a montré sa capacité à innover et à améliorer le quotidien de tous depuis des années. La communauté des radioamateurs partageait la même philosophie. Nous lui devons aujourd’hui des quantités de brevets. Nous souhaitons tous aboutir à des réalisations intelligentes. Passons à présent à des actions concrètes en assurant, encore et toujours, la promotion de nos valeurs européennes partout dans le monde. Des acteurs d’autres pays parviennent très bien à diffuser leur culture.

Notre petite entreprise, qui a connu une croissance fulgurante, évolue dans un monde où règne une exigence de confiance et de transparence majeure. Élargissons aujourd’hui nos initiatives au plus haut niveau et prouvons notre capacité à construire un système opérationnel dans un monde en accélération constante. Protégeons enfin ces passionnés de cybersécurité pour qu’ils continuent de garantir la transparence de tous les outils numériques mis à notre disposition, afin de protéger à leur tour notre quotidien, aujourd’hui comme à l’avenir.

Audition, ouverte à la presse, de M. Michel Van Den Berghe, président de la mission Campus Cyber (13 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. M. Michel Van Den Berghe, directeur général d’Orange Cyberdéfense, est président du Campus Cyber. Notre mission s’intéresse à la cybersécurité et à la cyberdéfense, qui constituent en un sens le cœur de la souveraineté numérique. Nous les avons abordées sous plusieurs angles – la sécurité des systèmes d’information de l’État et des administrations publiques, l’adéquation entre l’offre cyber française et européenne et la demande des entreprises, en particulier pour celles qui ont des moyens limités, et enfin les enjeux de la formation, afin de conserver un potentiel d’innovation dans un secteur à fort contenu technologique.

Votre parcours fait évidemment écho, M. le directeur général, à ces différents sujets, puisque vous êtes à la fois le fondateur d’Atheos, entreprise de cyberdéfense rachetée par Orange, et président du Campus Cyber.

M. Philippe Latombe, rapporteur. M. le directeur général, je souhaiterais d’abord vous interroger sur la façon dont vous appréhendez la notion de souveraineté numérique. Il s’agit d’une question rituelle de cette mission, qui procède de la grande diversité des définitions existante. Que recouvre selon vous ce concept, que l’on rapproche parfois d’une forme d’autonomie stratégique et décisionnelle ? De quelle façon les politiques menées par les États peuvent-elles ou doivent-elles évoluer pour mieux intégrer cette composante stratégique ?

Je voudrais en second point revenir sur le Campus Cyber, évidemment, et sur les enjeux de formation attenants. J’aimerais que nous fassions ensemble un état des lieux de l’avancement de ce projet et que nous revenions sur ses principales spécificités. Je me demande également comment nos voisins européens s’organisent dans ce domaine. Très concrètement, disposent-ils de campus similaires ? Des coopérations ont-elles vocation à intervenir entre le Campus Cyber et d’autres structures d’États membres de l’Union européenne ? Enfin, je voudrais connaître le calendrier de déploiement de ce campus, et savoir quels objectifs vous vous fixez afin d’atteindre une taille critique pour peser dans ce domaine.

Enfin, je vous propose d’échanger sur l’écosystème des entreprises de cybersécurité et de cyberdéfense, dont Orange Cyberdéfense fait partie. Je pose à titre liminaire quelques questions pour lancer nos échanges, mais elles ont évidemment vocation à être plus larges. Comment jugez-vous le niveau de maturité de l’écosystème entrepreneurial français ? Les relations entre acteurs privés et publics en matière de cybersécurité et de cyberdéfense sont-elles suffisamment développées selon vous ? Comment pouvons-nous faire le maximum pour essayer de ne pas manquer les innovations qui pourraient se présenter dans ce domaine à l’avenir ?

M. Michel Van Den Berghe. Le premier grand point est celui de la souveraineté, qui consiste à maîtriser ses données et ses équipements informatiques, ce qui est particulièrement compliqué dans le contexte international des entreprises, pour deux raisons. La première est qu’une grande partie des solutions utilisées ne sont pas françaises et souveraines. Par ailleurs, si l’on prend l’exemple du chiffrement, chaque pays possède ses propres normes, ce qui complique le partage des données. Nous insistons également beaucoup sur le fait que pour que les entreprises choisissent des solutions souveraines, il convient de porter ces dernières au moins au niveau des solutions américaines par exemple, afin qu’il n’y ait pas de freins à leur adoption.

C’est ce que nous voulons faire avec Orange Cyberdéfense : nous essayons de construire un leader européen, de nationalité européenne, si je puis dire, en expliquant aux grands clients internationaux qu’à expertise égale, ils ont le choix de confier le traitement de leurs données sensibles à un acteur européen.

Le Campus Cyber est un projet à l’initiative du président de la République. J’ai reçu une lettre de mission du Premier ministre en juillet 2019, me demandant d’examiner si l’écosystème français était prêt à se rassembler autour d’un seul lieu pour coopérer et partager les différentes informations dont il dispose, afin d’élever le niveau de cybersécurité de la nation et la protection des entreprises françaises.

J’ai remis un rapport au Premier ministre en janvier 2020, intitulé Fédérer et faire rayonner l’écosystème de la cybersécurité, et que vous pouvez retrouver sur le site de l’agence nationale de la sécurité des systèmes d’information (ANSSI). Nous avions interrogé une quarantaine d’entreprises pour leur demander si elles étaient prêtes à venir travailler ensemble dans un même lieu, malgré leurs relations de concurrence. Nous avons également visité une dizaine de campus dans le monde (à Beer-Sheva en Israël, Skolkovo en Russie et New York), avons fait travailler les ambassades pour savoir ce qu’il se passait dans les différents pays.

On m’a demandé d’opérationnaliser ce Campus Cyber. En septembre 2020, le président de la République a acté deux décisions. La première est le lieu, qui sera La Défense, car 90 % des entreprises qui ont accepté de venir travailler dans cette structure ont demandé qu’elle soit localisée dans Paris intra-muros ou en très proche banlieue. Par ailleurs, la gouvernance de ce Campus Cyber sera réalisée par une société par actions simplifiée (SAS), détenue à 51 % par le privé et à 49 % par des capitaux publics.

Le président de la République a dévoilé, il y a à peu près un mois, le plan d’accélération cyber, auquel j’ai participé, annoncé ce Campus Cyber et les moyens qui lui seront donnés.

Nous finalisons en ce moment la phase de capitalisation privée : une soixantaine d’entreprises entreront au capital de cette SAS jusqu’au 15 avril. Nous espérons faire entrer environ 3,5 millions d’euros dans cette entreprise, avec un actionnariat qui sera représentatif de la mixité des différentes sociétés : il y aura de très grandes entreprises du CAC 40 et du SBF 120, les grands acteurs de la cybersécurité, mais également des petites et moyennes entreprises (PME), des entreprises de taille intermédiaire (ETI) et même des start-up et associations. Les tickets d’actionnariat sont de 100 000 euros pour les grandes entreprises, 30 000 euros pour les PME et 10 000 euros pour les toutes petites entreprises et les associations. L’État, par l’intermédiaire de l’agence des participations de l’État (APE), abondera pour entrer au capital à hauteur de 49 % de l’ensemble.

Nous créons un campus regroupant quatre grands écosystèmes, ce qui est unique dans le monde. Les entreprises déporteront une partie de leurs activités dans le Campus Cyber, pour qu’il s’agisse d’un lieu opérationnel où des gens travailleront au quotidien. Elles sont incitées à y installer des équipes, qui ont tout intérêt à partager avec d’autres équipes, y compris lorsqu’elles appartiennent à des concurrents. L’exemple que je prends souvent est celui du village d’Astérix : les gens se disputent un peu sur le territoire, mais lorsque des ennemis viennent les attaquer, ils se rassemblent, prennent un peu de potion magique et luttent contre les pirates. Dans Astérix, comme vous le savez, les pirates se sabordent eux-mêmes quand ils voient arriver les Gaulois. C’est l’objectif que nous poursuivons. 2 000 personnes travailleront sur ce Campus Cyber. Nous avons déjà pré-vendu 1 900 postes. De nombreuses entreprises viendront positionner une partie de leurs troupes.

Le deuxième point est la recherche et l’innovation. La France est extrêmement performante en matière de cybersécurité. L’objectif de la structure est d’offrir un lieu permettant de continuer à être très innovant, et surtout d’industrialiser les innovations lorsque cela a du sens. La proximité avec les grands industriels aidera à accélérer les développements, qui pourront être mis à leurs catalogues. Nous créerons un laboratoire de recherche et d’innovation, des zones d’expérimentation et un espace d’amorçage et d’accélération de ce qui viendra de la recherche et de l’innovation.

La formation est également un sujet important. Nous souffrons d’un manque de ressources en cybersécurité. L’objectif est de rassembler plusieurs écoles pour pouvoir former plus de personnes dans le domaine : cinq à six écoles nous rejoindront. L’école pour l’informatique et les techniques avancées (EPITA) créera un bachelor dédié à la cybersécurité. Nous voulons également susciter des vocations. Nous ne manquons pas tant de formations, mais beaucoup de personnes pensent aujourd’hui que la cybersécurité est limitée à ce que nous voyons à la télévision, avec des geeks à capuche qui travaillent devant des écrans verts, alors que nous avons besoin de très nombreux talents pour nous accompagner.

La quatrième activité de ce Campus Cyber sera l’animation des projets communs. L’événementiel et les prestations en matière de cybersécurité seront réalisés sur ce Campus Cyber. Nous ne voulons pas constituer une galerie marchande ou un hôtel d’entreprises, mais faire en sorte qu’il y ait beaucoup de collaboration. 30 % d’espaces seront réservés par des acteurs privés, 15 % par des acteurs publics, 11 % seront dédiés à l’accélération (espaces « pépites », visant à aider les PME françaises à se développer, grâce à la proximité avec les grands acteurs internationaux ou les grands clients), 6 % à la formation et 35 % constitueront des espaces collaboratifs. Lorsque vous louez 10 mètres carrés d’espace personnel, on vous facture 13 mètres carrés, pour financer ces espaces collaboratifs.

L’augmentation de capital sera finalisée le 15 avril : l’entrée au capital de l’État par l’intermédiaire de l’agence des participations de l’État (APE) sera réalisée le 30 avril. Nous sommes également en train de finaliser la prise à bail avec le propriétaire de l’immeuble, qui devrait être effective le 30 avril, pour pouvoir démarrer l’agencement du Campus Cyber et lancer les groupes de travail afin de déterminer ce qui y sera fait.

En France, l’écosystème de la cybersécurité est très morcelé. On retrouve de grandes entreprises comme Orange Cyberdéfense, Atos, Capgemini, Thales, mais également une myriade de petites entreprises assez spécialisées. La grande difficulté est de trouver des ressources, de l’expertise dans ce domaine.

Des travaux ont été menés par l’ANSSI, qui a créé les opérateurs d’importance vitale (OIV), référencé un certain nombre de prestataires.

Les grandes entreprises commencent à avoir un niveau de sécurité leur permettant de se protéger contre certaines typologies d’attaques, ce qui n’est pas le cas des petites entreprises. Les ransomwares visant les hôpitaux, les administrations, les collectivités territoriales et les petites entreprises créent systématiquement des dommages très importants. Or, le métier de ces établissements n’est pas la cybersécurité. Nous devons trouver des solutions pour pouvoir les sécuriser de la façon la plus transparente possible, et amener de l’expertise chez eux. 66 % des PME qui sont touchées par un ransomware déposent le bilan. Je pense que les 30 % restant ont payé la rançon. Nous faisons un vrai constat d’échec sur la sécurisation des petites entreprises en France, qui nécessite une mobilisation pour les protéger au moins vis-à-vis des attaques basiques, du type des rançongiciels.

M. Philippe Latombe, rapporteur. Si nous revenons au Campus Cyber, avez-vous connaissance de projets similaires, y compris en gestation, dans d’autres pays européens ?

M. Michel Van Den Berghe. Non, nous sommes en avance sur le sujet. Nous avons cependant créé de l’envie, et je commence à être en relation avec des confrères en Italie, en Belgique et en Allemagne, qui estiment que notre projet est très intelligent et demandent que nous élaborions un kit de création d’un campus cyber. Pour l’instant, nous sommes vraiment en avance par rapport aux autres pays européens.

M. Philippe Latombe, rapporteur. Avez-vous des contacts avec la Commission européenne, pour essayer de faire de l’initiative quelque chose de plus européen et généraliste ?

M. Michel Van Den Berghe. Nous avons postulé pour constituer un « European digital innovation hub » (EDIH), de sorte que le Campus Cyber puisse être annoncé comme un dispositif d’innovation européen. Nous sommes portés par la région Île-de-France dans cette démarche. Ce sera peut-être un moyen de nous faire connaître.

Je suis un entrepreneur et j’avance donc, pas à pas. La première étape était de créer cette SAS française et la capitaliser, en faisant en sorte que tous les acteurs aient leur voix dans la gouvernance. Malgré l’entrée au capital de grandes entreprises, j’ai tenu à ce que le conseil d’administration soit représentatif de l’ensemble de l’écosystème. Il y aura un siège pour les start-up, un pour les associations, un pour les personnes de la formation, un autre pour ceux de la recherche. Je suis en train de finaliser cette phase du travail.

Par ailleurs, lorsque l’on crée une entreprise, on ne prend généralement pas un immeuble de 26 000 mètres carrés. J’ai donc aussi pour tâche de rassurer le propriétaire de l’immeuble, qui est neuf, quant à la pérennité de la SAS et à sa capacité à payer ses loyers. Je travaille également à l’établissement des contrats de sous-location : sur 2 000 postes de travail disponibles, 1 920 sont d’ores et déjà pré-vendus, ce qui montre que l’écosystème répond présent. Certaines entreprises prendront un étage complet de l’immeuble, d’autres occuperont seulement un ou deux postes de travail, qui leur permettront de s’immerger au sein de ce Campus Cyber.

M. Philippe Latombe, rapporteur. Il est dit que le campus ne sera pas localisé uniquement à La Défense, mais qu’il essaimera en province. Avez-vous déjà un plan d’essaimage ?

M. Michel Van Den Berghe. Oui, nous avons rencontré l’ensemble des présidents de région. Certaines sont déjà en train de créer leur campus cyber, comme la région des Hauts-de-France, qui l’a fait avec la métropole de Lille et la ville de Lille. Nous avançons en parallèle : ils démarreront leur structure dès 2022 également. Je suis aussi en relation avec la région des Pays-de-Loire, pour examiner comment ils pourraient démarrer un campus cyber dans leur pôle d’innovation. Chaque région a manifesté son intérêt. Nous tenons absolument à pouvoir le réaliser : nous devons pouvoir amener la cybersécurité aux endroits où se font les grandes transformations numériques dans le pays. La région Rhône-Alpes est par exemple très en pointe sur l’industrie 4.0 : un campus cyber dédié à ces transformations doit y être constitué. Dans les Hauts-de-France, nous voulions travailler sur la sécurisation de l’écosystème des PME et la mise en place de solutions les plus transparentes possible. Dans les Pays-de-Loire, le travail porte sur la sécurisation des smart cities. L’idée est d’amener le concept de campus cyber dans les régions, pour constituer des satellites communiquant entre eux, de sorte que l’on ne fasse pas un projet jacobin où toute l’expertise serait centralisée à Paris.

M. Philippe Latombe, rapporteur. Il s’agissait de ma question suivante, à laquelle vous avez commencé à répondre. Chaque nouveau centre régional aura-t-il une spécificité ou une thématique particulière et pourra-t-il communiquer directement avec les autres centres, sans nécessairement passer par le campus parisien ?

M. Michel Van Den Berghe. Exactement.

M. Philippe Latombe, rapporteur. Comment percevez-vous l’appétence des chefs d’entreprises et des élus locaux sur le sujet ? Sont-ils suffisamment informés des risques cyber aujourd’hui, ou reste-t-il de l’éducation à faire ?

M. Michel Van Den Berghe. Le risque cyber est considéré comme majeur dans les grandes entreprises : la prise de conscience est faite. On nous demande de plus en plus d’organiser de la sensibilisation, des exercices de gestion de crise, etc. Nous percevons que ce risque est aujourd’hui identifié, et nous nous faisons aider par les grandes compagnies d’assurance pour rappeler qu’en cas de risque cyber, les dommages sont assez importants. Une vidéo a circulé sur Twitter, diffusée par un maire qui a subi une attaque par un rançongiciel. Il notait que l’on a toujours l’impression de ne pas être concerné, et que les pirates ne s’intéressent pas à nous. Or, aucune municipalité n’est particulièrement visée : les pirates lancent l’attaque sur le réseau, et ceux qui ont les portes ouvertes laissent entrer le rançongiciel et se font encrypter leurs données, qui sont dès lors perdues, si elles n’ont pas été sauvegardées.

Dans l’automobile, la sécurité du véhicule est un critère de choix, sans que l’on demande aux utilisateurs de connaître le fonctionnement de l’ABS ou des airbags. Nous devons développer cette approche en matière de cybersécurité, par des campagnes de sensibilisation, sur le modèle des campagnes-chocs qui ont été menées en matière de sécurité routière. Il y a un vrai travail de sensibilisation à mener de la part de l’État, pour rappeler qu’Internet n’est pas le pays de Candy et que l’on est visible de tous et très fortement attaquable dès lors que l’on ne se protège pas. Il faut mener un vrai travail de sensibilisation, d’éducation, pour que les gens comprennent que le risque est avéré, et que l’on parvient très souvent, avec très peu d’investissement, à se protéger de 90 % des attaques.

M. Philippe Latombe, rapporteur. Pensez-vous que cela aille de pair avec le manque de candidats au suivi des formations et à l’entrée dans le monde de la cybersécurité ? Ce domaine n’est-il pas suffisamment attractif ? N’en parle-t-on pas assez ?

M. Michel Van Den Berghe. Vous avez tout à fait raison. La cybersécurité souffre d’un problème d’image. Nous avons une image anxiogène. Tous les reportages télévisés présentent des spécialistes de la cybersécurité avec des capuches devant leurs écrans, ne parlant à personne. Or, ce n’est pas du tout notre métier.

Lorsque nous intervenons sur des crises sensibles (celles des hôpitaux, celle de Pierre Fabre, etc.), nous sommes confrontés à une première étape de stupéfaction et de panique, les victimes pensant jusqu’à ce qu’elles soient atteintes qu’elles n’étaient pas ciblées. Nous aidons très souvent à calmer, à structurer la réponse et à éviter la propagation de l’attaque. Lorsque les pompiers interviennent sur un incendie, ils n’envoient pas de l’eau partout, mais coupent l’électricité, le gaz, s’assurent qu’il n’y a plus personne dans les locaux, etc. Dans une crise cyber, le réflexe est exactement le même. Dans une deuxième phase, nous essayons de faire fonctionner les systèmes du mieux que nous pouvons. La troisième phase est celle de la reconstruction.

Nous devons changer l’image des personnes de la cybersécurité, donner du sens à notre métier. Je pense qu’un jeune sur dix mille en terminale indiquerait vouloir travailler dans le domaine de la cybersécurité si on lui posait la question. Nous avons besoin de communicants, de personnes capables d’aider à reconstruire des systèmes d’information, de spécialistes du chiffrement de données, etc. Il existe de nombreux autres métiers que ceux de pentester ou de hacker éthique, que l’on cite très souvent. Nous devons changer l’image du métier de la cybersécurité. Nos grands dirigeants eux-mêmes, lorsqu’ils ont l’occasion de communiquer sur le numérique, préfèrent parler du quantique que de cybersécurité, car ils estiment que cela est moins anxiogène. Or, notre métier n’est pas anxiogène. Nous sommes les Casques bleus du numérique : nous devons protéger un territoire, protéger des personnes. Notre métier a beaucoup de sens, et nous devons le valoriser pour créer des vocations. Les formations existent, mais ne sont pas remplies ; nous devons faire venir les jeunes vers ces métiers de la cybersécurité, en changeant son image qui est aujourd’hui trop anxiogène.

M. Philippe Latombe, rapporteur. Ces métiers sont-ils pratiquement toujours tenus par des hommes, ou commence-t-il à y avoir des femmes ?

M. Michel Van Den Berghe. Des femmes commencent à y être présentes, surtout dans les équipes de conseil. Orange Cyberdéfense est par exemple passé de 8 % à 17 % de personnel féminin entre 2018 et 2020. Il reste beaucoup à faire, mais nous y travaillons, toujours en changeant cette image du monde de la cybersécurité.

M. Philippe Latombe, rapporteur. Nous avons parlé de formation initiale et d’attirer des jeunes, en changeant l’image de la cybersécurité. La formation professionnelle continue est-elle pour sa part suffisante afin que des directeurs des systèmes d’information (DSI) ou des responsables de la sécurité des systèmes d’information (RSSI) soient mis à niveau des menaces existantes, de leur évolution technologique, etc. ? Le Campus Cyber proposera-t-il des formations dans ce domaine ?

M. Michel Van Den Berghe. C’est exactement ce que nous souhaitons faire.

Les formations doivent, en premier lieu, mettre à niveau les professionnels de la cybersécurité par rapport aux nouvelles typologies d’attaque. Les pirates sont extrêmement créatifs, et chaque innovation crée de nouvelles fenêtres de vulnérabilité. L’Internet des objets (IoT) créera de nouvelles vulnérabilités. Si ces objets ne sont pas référencés et, un minimum, sécurisés lorsqu’ils seront connectés au réseau, ils constitueront des portes d’entrée supplémentaires. La 5G créera également de nombreuses possibilités de connexions d’objets, et augmentera donc la vulnérabilité. Nous devons donc former les acteurs, ce qu’il est prévu de faire sur le Campus Cyber pour que les RSSI et les DSI soient mis à niveau.

Nous essaierons en deuxième lieu de réaliser du rescaling d’ingénieurs réseau, d’ingénieurs de production informatique, de développeurs, qui ont envie d’aller vers le métier de la cybersécurité. Certaines grandes entreprises ont monté leurs propres formations pour faire du rescaling de ressources : nous l’avons fait chez Orange, EDF l’a fait, de même que BNP. Plutôt que laisser chaque entreprise mener ce travail de façon artisanale en son sein, nous voulons structurer la démarche, en nous faisant aider, par exemple, par l’ANSSI, qui pourrait dispenser des formations. La formation de ce type de populations à la cybersécurité est très rapide.

Le troisième point est que beaucoup d’écoles d’ingénieurs forment à la cybersécurité, mais que nous avons également besoin de techniciens supérieurs dans ce domaine. D’où la création de ce bachelor avec l’EPITA, pour augmenter le nombre de spécialistes en cybersécurité. Lorsque vous placez des ingénieurs derrière des consoles de cyberSOC (le système qui permet de surveiller ce qu’il se passe sur les réseaux), ils partent après trois mois. Nous devons également former des personnes à bac+2 ou bac+3 en école d’ingénieur, pour que l’expertise ne se trouve pas uniquement chez des personnes titulaires d’un bac+5. Nous avons besoin de bac+2 pour installer des matériels destinés à la sécurité périmétrique dans les entreprises, paramétrer des sondes réseau, etc. C’est ce que nous voulons faire sur le Campus Cyber.

M. Philippe Latombe, rapporteur. Beaucoup de projets de smart cities démarrent actuellement, pour des raisons de calendrier – puisque les maires ont été élus l’année dernière. Intègrent-ils suffisamment la cybersécurité dès l’origine, ou s’agit-il d’une préoccupation qui émerge à la fin du projet ? De même, les PME et ETI qui développent leurs systèmes d’information intègrent-elles la cybersécurité dès le départ ? Si ce n’est pas le cas, comment faire en sorte que la cybersécurité soit à l’avenir prise en compte en amont des projets ?

M. Michel Van Den Berghe. C’est toute la problématique que nous essayons de traiter par le secure by design. La cybersécurité est toujours traitée à la fin des projets, et comme ces derniers sont toujours en retard, elle est fréquemment oubliée. Je suis intervenu à la suite des attaques des hôpitaux : quand on voit les « cochonneries » qui sont connectées aux réseaux de ces établissements, il ne faut pas s’étonner qu’ils subissent des cyberattaques. Il faut en premier lieu interdire la connexion à des réseaux sensibles d’outils, d’objets connectés, de systèmes d’information qui ne sont absolument pas protégés. Il convient également d’inculquer le secure by design, en expliquant aux fournisseurs de ces solutions que la cybersécurité est un facteur différenciant, et qu’à prix égal, un client préférera retenir une solution dans laquelle la cybersécurité a été pensée.

Nous revenons au fait qu’il s’agit d’un problème d’éducation et de sensibilisation. Si la cybersécurité est prise en compte à l’origine, le projet n’est absolument pas ralenti, au contraire, et les systèmes d’information ne seront pas complètement piratables.

On attaque aujourd’hui les données des entreprises. Dans cinq ans, les rançongiciels toucheront les particuliers : lorsque les maisons seront complètement connectées, on exigera des personnes qu’elles paient une rançon directement avec leur smartphone pour pouvoir ne serait-ce qu’entrer chez elles. De même, la numérisation des smart cities est une bonne chose, mais si le pirate prend la main sur une ville connectée, il est capable de faire n’importe quoi. Il faut donc vraiment sensibiliser maintenant les personnes à prendre en compte le risque. Pour être très franc, ce n’est pas du tout fait aujourd’hui.

M. Philippe Latombe, rapporteur. En ce sens, le gouvernement a débloqué des fonds dédiés aux collectivités territoriales en matière de cybersécurité. Sont-ils suffisants ?

M. Michel Van Den Berghe. Il s’agit d’un premier pas très important. La création d’antennes régionales permettant de mettre en place des systèmes sécurisant les collectivités locales, les hôpitaux, etc., est un excellent premier pas. Le plan de relance et d’accélération cyber, avec le milliard d’euros consacré au développement des outils cyber est extrêmement important. La prise de conscience est là : il faut maintenant accompagner l’ensemble des collectivités territoriales et protéger les plus faibles. On le voit : pour attaquer une grande entreprise, le pirate vise fréquemment son sous-traitant, qui est plus vulnérable, et peut faire entrer le virus dans le système d’information de la grande entreprise. Nous devons nous mobiliser pour proposer des solutions aux très petites entreprises (TPE), qui n’ont parfois même pas de DSI. Si nous ne les aidons pas, elles constitueront des portes d’entrée vers les administrations ou les grandes entreprises.

M. Philippe Latombe, rapporteur. Qui serait selon vous le bon prescripteur ? Serait-ce Bpifrance ? Je ne parle pas des grands groupes, qui peuvent par ruissellement demander à leurs sous-traitants de se sécuriser, ce qu’ils ont commencé à faire, mais pour tous les acteurs qui ne se trouvent pas dans cette situation, quel serait le bon prescripteur de la réflexion cyber, au-delà du Campus Cyber, qui constitue en soi un centre de ressources ? Le prescripteur devrait-il être Bpifrance, lorsqu’elle investit pour numériser ou modifier le système d’information, l’expert-comptable, l’un des interlocuteurs assez naturels des dirigeants de PME, TPE ou même ETI ? Quel est selon vous le bon niveau ?

M. Michel Van Den Berghe. C’est véritablement la question que nous nous sommes posée. Selon nous, trois acteurs atteignent un maximum de ces entreprises. Le premier est le banquier, car toutes les entreprises ont un compte en banque : les banquiers pourraient proposer une solution la plus simple possible à télécharger sur un kiosque pour protéger les PC. La Poste est également un interlocuteur évident : tout le monde reçoit du courrier, et il existe une relation de confiance avec le facteur. Enfin, les opérateurs réseau qui apportent de la connectivité pourraient également proposer des solutions simples à installer, pour fournir un minimum de cybersécurité.

Sans faire de publicité à Orange Cyberdéfense, je suis précisément en train de travailler sur le sujet, en essayant d’inciter Orange France à mettre en place une solution que nous sommes en train de construire avec les sociétés françaises Tehtris et Vade Secure. Il s’agit d’une solution de type endpoint detection and response (EDR), qui remplace l’antivirus et isole un poste de travail du réseau lorsqu’elle y détecte des comportements malveillants, afin d’éviter la contamination de l’ensemble de l’entreprise. Vade Secure apporte une solution d’antifishing, qui détecte les pièces malveillantes dans les mails et les met de côté, permettant d’éviter que les utilisateurs cliquent dessus et infectent leur poste de travail. Nous essayons également de faire en sorte que la solution soit très peu chère : la campagne que nous mènerons sera intitulée « Votre cybersécurité pour le prix d’un café ». Nous souhaitons que cette solution coûte moins de 40 centimes d’euro par jour.

J’incite Orange France à proposer cette application avec les box pour professionnels. Nous pourrions le faire également avec les banquiers, avec les assureurs, qui pourraient diminuer la police d’assurance moyennant cette amélioration de la sécurité.

Chez Orange, le marché des professionnels et des PME, constitué des entreprises de moins de cinquante salariés, regroupe cinq millions de clients. En Europe, ces sociétés représentent 99 % des entreprises. Il existe donc un intérêt y compris financier à proposer ce type de solutions. Je me bats chez Orange pour qu’une solution soit proposée sur un kiosque, à destination des entreprises d’un à cinq salariés, afin qu’elles disposent d’un dispositif d’antivirus, de détection comportementale et d’antifishing pour trente ou quarante centimes d’euro par poste de travail et par jour. Les clients adhéreraient assez facilement à un tel outil.

M. Philippe Latombe, rapporteur. Nous avons parlé des clients. Si nous parlons de l’offre, vous avez évoqué dans votre propos liminaire le morcellement des acteurs, qui travaillent sur des segments parfois compatibles ou complémentaires les uns des autres. Comment structurer l’ensemble ? L’objet du Campus est-il précisément d’agréger les solutions, pour pouvoir aborder les marchés de façon commune, ou s’agit-il simplement de faire émerger les entreprises en dehors de cette logique ? À terme, le marché peut-il rester aussi hétérogène ?

M. Michel Van Den Berghe. Vous pointez bien la faiblesse du marché de la cybersécurité. Les quatre grandes entreprises industrielles du secteur représentent 80 % du marché, ce qui n’est pas idéal. Orange Cyberdéfense cherche à faire de la croissance externe, mais ne trouve pas d’entreprises à acheter, y compris en Europe, hormis des sociétés qui réalisent 20 à 25 millions d’euros de chiffre d’affaires. Nous trouvons peu de cibles potentiellement accessibles.

Il faut parvenir à structurer ce marché de la cybersécurité, l’amener dans les régions, car la proximité est extrêmement importante. L’objectif du Campus Cyber est précisément d’aider à faire connaître ces PME, qui apportent de la cybersécurité dans les régions. Quelques entreprises sont assez fortes dans leurs différentes régions – Advens à Lille, Tehtris à Bordeaux, etc. Nous devons créer un maillage, et faire en sorte que les gens se parlent pour élever le niveau global de cybersécurité. Notre premier objectif est de créer une base de marqueurs, pour que les personnes qui font de la détection puissent s’y connecter. Chacun doit oublier un peu la concurrence pour que le même niveau de détection soit possible partout dans le pays.

Nos start-up doivent également pouvoir évoluer et s’internationaliser sans nécessairement aller chercher des fonds outre-Atlantique. Il ne faut plus que les entreprises françaises qui commencent à bien fonctionner sur le territoire national soient obligées de créer un siège social à San Francisco pour pouvoir rayonner aux États-Unis. Il est possible de procéder autrement, mais nous devons nous en donner les moyens. Nous devons conserver des entreprises françaises capables de s’adresser à des clients internationaux sans basculer leur siège social aux États-Unis.

M. Philippe Latombe, rapporteur. On nous dit très régulièrement, lors des auditions, que l’amorçage est une bonne chose, mais qu’il importe plus d’avoir des clients que des subventions. L’État joue-t-il aujourd’hui correctement son rôle de client ? Peut-il mieux faire, et le cas échéant comment ? Les grandes entreprises, qui ne suivent pas des procédures de marchés publics, mais ont de grands besoins, font-elles, de leur côté, suffisamment d’efforts pour recourir à des start-up ?

Par ailleurs, vous indiquez ne pas trouver de cibles à acheter. Or, on nous explique depuis le début des auditions que personne ne veut les acheter en France, et qu’il est obligatoire de se vendre à l’étranger. Comment résolvons-nous ce paradoxe ?

M. Michel Van Den Berghe. La question est très pertinente. En France, nous sommes très doués pour incuber. De très nombreuses sociétés sont placées dans des couveuses, soutenues par des banques, bénéficient de bureaux, de moyens de se développer, etc. La phase la plus compliquée est celle de l’industrialisation et du décrochage de grands clients permettant à ces entreprises d’avoir une autonomie de financement assez importante.

J’ai été entrepreneur. Lorsque vous créez votre solution, même si elle est extrêmement pertinente, et que vous vous retrouvez face aux acheteurs des grandes sociétés françaises, ils constatent que les techniciens ont validé la solution, mais vous demandent vos trois derniers bilans, demandent la garantie que vous êtes capable de payer un million d’euros de pénalités si la solution détériore le système d’information de l’entreprise, etc. Toutes ces contraintes liées aux politiques d’achat expliquent qu’il n’est pas possible de servir ces grandes sociétés.

Le combat que j’ai mené avec Orange Cyberdéfense vise à répondre à cette difficulté. Lorsqu’une société est pertinente d’un point de vue technologique, nous la plaçons très rapidement à notre catalogue, pour rassurer les clients potentiels. Orange Cyberdéfense, société qui réalise 800 millions d’euros de chiffre d’affaires, prend en charge la contractualisation, couvre les risques de pénalité, etc. Cela accélère véritablement la possibilité pour des petites entreprises d’atteindre de très grands comptes.

Le dernier exemple en date est la société Alcide, créée à Annecy.

M. Philippe Latombe, rapporteur. Nous en avons entendu parler.

M. Michel Van Den Berghe. Orange Cyberdéfense a mis Alcide à son catalogue et a incité ses propres clients à acheter ses solutions, en prenant en charge les problématiques de référencement et d’achat. In fine, Alcide a été racheté par une société américaine, pour un montant de 100 millions d’euros – ce qui est heureux pour les fondateurs, mais casse la concurrence. Personne en France ne peut investir 100 millions d’euros pour acheter Alcide. Cette valorisation est complètement délirante. La valorisation des cibles du marché de la cybersécurité est pour nous de l’ordre de 20 à 25 % de l’EBITDA. Je ne peux pas demander au conseil d’administration de valider l’acquisition d’une entreprise pour un montant de vingt à vingt-cinq fois son EBITDA, quand Orange Cyberdéfense est pour sa part valorisée deux à trois fois son EBITDA. Le marché est survalorisé. Aucune entreprise française ne peut débourser 100 millions d’euros pour acheter Alcide, qui réalise 8 millions d’euros de chiffre d’affaires.

M. Philippe Latombe, rapporteur. Pour quelle raison l’acquéreur est-il prêt à payer cette somme ? Il existe bien une raison économique chez l’acheteur. Nous ne parlons pas de philanthropie, ou de l’achat du Salvator Mundi. Alcide n’est pas un trophée que l’on affiche dans une vitrine.

M. Michel Van Den Berghe. Il existe certainement un intérêt. Je suis plus un technicien qu’un financier, mais c’est la rareté des opportunités qui explique des valorisations aussi délirantes. Alcide propose une technologie excellente, qui gère la sécurisation du référencement des utilisateurs. Son seul concurrent est Microsoft. Cela peut effectivement être intéressant pour une entreprise américaine, qui, vu sa portée, pourra peut-être dégager très rapidement de la rentabilité. Lorsque vous achetez une entreprise vingt-cinq fois la valeur de son EBITDA, cela signifie cependant qu’il faut vingt-cinq ans pour rentabiliser l’investissement. Il faut donc être certain que les synergies d’acquisition permettront de diviser le coût par deux. Dans notre métier, les valorisations sont de manière générale un peu délirantes.

M. Philippe Latombe, rapporteur. Les grandes entreprises achètent relativement cher ces sociétés, c’est-à-dire une vingtaine de fois l’EBITDA plutôt que deux à trois fois l’EBITDA. Est-ce parce qu’elles achètent quelque chose qu’elles ne maîtrisent pas, ou qui est en concurrence potentielle avec ce qu’elles sont en train de développer et qu’elles veulent donc détruire ? Que faudrait-il faire en France pour préserver ces sociétés, ou pour procéder de même ? Ne disposons-nous pas de suffisamment de grandes entreprises capables de réaliser ces acquisitions ?

M. Michel Van Den Berghe. C’est un peu ce que nous essayons de construire : nous voulons créer des industriels européens capables de « challenger » les grands acteurs américains. Si nous étions déjà capables d’accompagner toutes les entreprises européennes dans leur mondialisation, on offrirait un terrain de jeu extrêmement important. Nous devons créer des acteurs européens capables de « challenger » ces grands acteurs américains, et de peser face aux GAFA. Palo Alto, etc., qui sont visionnaires dans la transformation numérique et achètent des start-up qui ont déjà développé des solutions, pour ne pas avoir à le faire eux-mêmes. Même s’ils ont commencé à travailler dans le domaine, mais qu’une start-up est allée plus vite, ils l’achètent, la mettent à leur catalogue et sont en avance sur le marché. Nous devons créer ces acteurs français, européens, capables de rivaliser avec les grands acteurs américains pour acquérir les entreprises innovantes et positionner leurs offres sur le marché mondial.

Nous commençons à le faire. Nous l’avons par exemple aux États-Unis et; c’est la première fois qu’un acteur européen pénètre le marché américain, peut-être grâce à l’image plus transparente des entreprises européennes en matière de données. Nous devons créer de grands acteurs européens, avec la même expertise que les grands acteurs américains, pour créer de la valeur. Toutes les grandes entreprises européennes doivent être accompagnées dans leur conquête du marché mondial. Nous avons, par exemple, créé un data center en Chine pour accompagner un géant du luxe souhaitant pénétrer le marché chinois. Nous avons fait de même pour un fabricant de meubles suédois, qui voulait attaquer le même marché, car les données du personnel et des clients doivent rester sur le territoire chinois. Nous sommes capables de le faire, mais nous devons accélérer pour atteindre une taille nous permettant de lutter contre les GAFA et un jour peut-être investir les mêmes montants pour éviter que nos pépites françaises soient achetées par des entreprises américaines.

M. Philippe Latombe, rapporteur. Le Campus Cyber permettra-t-il aux start-up françaises, mais également à l’ensemble de l’écosystème, de « chasser en meute » ?

M. Michel Van Den Berghe. C’est exactement ce que nous voulons faire. Nous voulons nous rassembler pour pouvoir « chasser en meute », et créer la connexion. La France réussit très bien la phase d’incubation. Nous devons désormais créer des liens pour que les start-up devenues des PME soient très rapidement mises au catalogue des grands industriels, et que ces derniers les aident à se développer et à proposer leurs solutions dans l’ensemble du territoire. Lorsque Thales ou Atos mettent à leur catalogue la technologie d’une PME française, celle-ci se développe beaucoup plus vite, car elle peut atteindre de grands comptes. C’est la phase d’industrialisation qui est compliquée pour les PME.

J’ai revendu Atheos à Orange, parce que les grands comptes estimaient que l’entreprise commençait à prendre trop de poids à l’intérieur de grands industriels français, et que sa puissance financière les dérangeait. J’ai donc décidé de m’adosser à un grand industriel pour continuer à monter en expertise et en puissance au sein de ces grands comptes. Il s’agit d’une belle réussite : le chiffre d’affaires d’Atheos était de 30 millions d’euros en 2014, en y ajoutant les activités d’Orange, le périmètre était de l’ordre de 80 millions d’euros. Orange Cyberdéfense réalise en 2020 près de 800 millions d’euros de chiffre d’affaires.

Lorsque nous créons un acteur français capable d’apporter la même expertise que les sociétés américaines, les clients suivent. Tout le CAC 40 est aujourd’hui client d’Orange Cyberdéfense, et a choisi, à expertise égale, l’acteur français plutôt que son concurrent américain.

M. Philippe Latombe, rapporteur. J’en viens à ma dernière question. Comment gérer l’extraterritorialité américaine ? Devons-nous jouer avec, créer nos propres règles en Europe ? Comment voyez-vous les choses ?

M. Michel Van Den Berghe. Nous devons créer nos propres règles en Europe.

Lorsque nous avons créé le Campus Cyber, de nombreux acteurs américains et chinois m’ont demandé d’y participer, de prendre des actions, etc. Je leur ai demandé de nous laisser nous organiser avec des acteurs français, peut-être des acteurs européens, en remarquant qu’un Campus Cyber aux États-Unis n’accepterait pas Orange Cyberdéfense dans sa gouvernance sans rien lui demander en contrepartie. L’Europe doit s’organiser pour créer une régulation du marché de la cybersécurité. Cette « meute » française doit être organisée au niveau de l’Europe, pour que nous puissions faire émerger ces grands acteurs de la cybersécurité et pouvoir attirer les grandes sociétés internationales.

M. Philippe Latombe, rapporteur. Quels points n’aurions-nous pas abordés, que vous voudriez évoquer ?

M. Michel Van Den Berghe. Il ne s’agit pas de votre première audition, et vous avez à mon avis bien cerné les questions. Les sujets sur lesquels nous devons travailler ensemble sont la sensibilisation de l’écosystème industriel à la problématique de la cybersécurité et le changement d’image de la cybersécurité, pour créer des vocations, expliquer que la cybersécurité n’est pas anxiogène, que ce métier a beaucoup de sens. Nous avons besoin de spécialistes de la législation, de la communication, etc., et de supprimer l’image que nous voyons trop souvent dans les reportages du geek avec une capuche, que je ne supporte plus.

M. Philippe Latombe, rapporteur. Nous ne vous en présenterons pas.

M. Michel Van Den Berghe. Nous devons changer cette image.

La perception du sujet par les dirigeants doit aussi évoluer. Au départ, lorsque nous voulions intervenir dans les comités exécutifs, on nous expliquait que le sujet était trop anxiogène et technique. Les mentalités commencent à changer. Il faut expliquer que la cybersécurité fait partie de la transformation numérique et qu’en la prenant en compte le plus rapidement possible, par le secure by design, on s’évite bien des problèmes.

Audition, ouverte à la presse, de M. Arnaud Dechoux, responsable des affaires publiques « Europe », de la société Kaspersky (13 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous poursuivons nos auditions consacrées aux enjeux du cyber, en présence de M. Arnaud Dechoux, responsable des affaires publiques de la société Kaspersky France.

Notre mission s’intéresse au sujet de la cybersécurité et de la cyberdéfense, qui constituent le cœur de la souveraineté numérique, entendue dans le sens le plus fondamental. Nous avons souhaité vous entendre comme représentant d’une société multinationale russe, spécialisée dans la sécurité des systèmes d’information, et connue évidemment pour sa solution antivirus. Nous sommes intéressés par votre regard et celui de votre société, en tant qu’acteur n’appartenant pas à l’Union européenne, sur la préoccupation croissante des États membres de celle-ci vis-à-vis de l’enjeu de souveraineté numérique. Nous aurons également l’occasion, je l’espère, d’aborder votre manière de voir l’actualité cyber européenne. Vous avez organisé le 23 mars dernier un échange sur le sujet avec plusieurs acteurs importants, dont M. Guillaume Poupard, le directeur général de l’agence nationale de sécurité des systèmes d’information (ANSSI), M. Bart Groothuis, eurodéputé et rapporteur de la directive NIS2. J’espère que vous pourrez nous en dire un mot.

M. Philippe Latombe, rapporteur. Je souhaite évoquer trois sujets.

La première question est rituelle dans cette mission et porte sur la façon dont vous appréhendez la notion de souveraineté numérique. Dans nos différentes auditions, nous avons entendu une grande diversité de définitions. Je voudrais donc savoir ce que recouvre, sous l’angle cyber, ce concept que l’on rapproche parfois d’une forme d’autonomie stratégique et décisionnelle. Comment vous positionnez-vous face au souhait de certains États membres de privilégier des solutions de sécurité européennes pour des raisons de souveraineté ?

En second point, je voudrais que nous échangions sur le secteur de la cybersécurité. Quel est votre positionnement sur le marché des antivirus, et son actualité en Europe et dans le monde ? Comment faites-vous en sorte de rester à l’état de l’art face à l’évolution des menaces ? J’aimerais que vous partagiez votre regard sur l’évolution de la menace, tant en ce qui concerne sa nature que ses modalités. Très concrètement, comment les attaques subies par vos clients ont-elles évolué ? Ceux-ci avaient-ils renforcé leur protection numérique pendant la crise sanitaire ? Comment inciter les entreprises à mieux se protéger dorénavant, afin de limiter autant que possible les conséquences d’éventuelles atteintes à leurs systèmes d’information ?

Enfin, j’aimerais revenir sur la question de la protection des données personnelles, qui est un sujet majeur en Europe. Comment percevez-vous cet impératif, en tant qu’acteur non européen ? Comment garantissez-vous la sécurité des données de vos clients, alors que certains vous accusent d’avoir favorisé l’installation de backdoors au sein de systèmes informatiques au profit de la Russie ?

Je rejoins M. le président pour conclure sur l’actualité cyber européenne, sur laquelle nous aimerions aussi évidemment vous entendre.

M. Arnaud Dechoux, responsable des affaires publiques « Europe », de la société Kaspersky. Si vous me le permettez, je voudrais présenter très rapidement Kaspersky, pour expliquer qui nous sommes, ce que nous faisons et ce que nous ne faisons pas. L’entreprise a été fondée en 1997 par Eugène Kaspersky, qui reste aujourd’hui son président-directeur général et son propriétaire. Avec un chiffre d’affaires d’environ sept cents millions de dollars, Kaspersky est la première entreprise privée de cybersécurité au niveau mondial. Elle emploie environ quatre mille salariés dans le monde, dont plus d’un tiers en R&D. L’entreprise a l’originalité d’être une multinationale d’origine russe, dans un secteur où les grands acteurs sont souvent d’origine anglo-saxonne. L’Europe constitue aujourd’hui, de loin, notre première zone d’activité : 40 % environ de notre chiffre d’affaires sont aujourd’hui réalisés en Europe. Nous attachons donc beaucoup d’importance aux considérations européennes, entre autres sur les sujets de souveraineté numérique.

Kaspersky est initialement connu pour son moteur antivirus très efficace, mais est aujourd’hui bien autre chose. Nous avons deux segments d’activité. En premier lieu, le segment grand public constitue environ 50 % de notre activité : il s’agit de la protection des ordinateurs, de gestionnaires de mots de passe, de réseaux privés virtuels (VPN) ou encore de solutions de contrôle parental. La deuxième moitié concerne les services aux entreprises et organisations ; environ deux cent soixante-dix mille organisations sont clientes de Kaspersky, de la très petite entreprise (TPE) ou petite et moyenne entreprise (PME) à la multinationale, en passant par de nombreuses organisations publiques. Nous parlons en l’occurrence de solutions de protection des postes de travail, mais aussi de sondes réseau ou de protections pour le milieu industriel, qui est également très ciblé aujourd’hui par les cyberattaques, d’outils de protection des objets connectés, ou encore de chiffrement des infrastructures cloud, mais aussi de programmes de sensibilisation à la cybersécurité.

La dernière activité sur laquelle je voulais insister est celle des services threat intelligence, autrement dit de renseignement cyber sur les menaces avancées. Très concrètement, ce sont des flux d’informations à destination des agents de cybersécurité, des grandes entreprises, des intégrateurs, qui possèdent en interne des computer emergency response teams (CERT) ou des security operations centers (SOC), c’est-à-dire des équipes chargées de réaliser de la veille cyber. L’objectif pour ces acteurs est de mieux connaître la menace, de mieux s’y préparer et de mieux gérer les risques cyber. Chez Kaspersky, cette activité est gérée par une équipe appelée Global research analysis team (GReAT) : quatre chercheurs en France sont spécialisés sur ces sujets.

Nous comptons quatre cents millions d’utilisateurs dans le monde pour nos différents services. C’est précisément cette présence internationale qui nous permet de suivre en temps réel l’évolution des cybermenaces dans les différents pays. Les utilisateurs qui le souhaitent nous remontent, après avoir accepté cette modalité par un système d’opt-in, des données de télémétrie, qui permettent d’analyser les fichiers malveillants auxquels ils sont confrontés, en particulier ceux que nous ne connaissons pas encore. L’objectif est d’analyser ces derniers pour mieux les identifier à l’avenir.

Kaspersky emploie 70 personnes en France, où elle existe depuis une quinzaine d’années. L’entreprise est membre de la plateforme Cybermalveillance depuis 2017, acteur que vous avez auditionné et qui nous semble extrêmement important pour sensibiliser et instaurer une véritable culture d’hygiène numérique parmi les citoyens et les petites entreprises. L’entreprise est également signataire, depuis 2018, de l’Appel de Paris pour la confiance et la sécurité du cyberespace. Dans ce cadre, nous codirigeons depuis quelques mois avec le Cigref l’un des groupes de travail mis en place par le ministère de l’Europe et des affaires étrangères, pour apporter des outils concrets aux signataires de l’Appel.

L’un des maîtres mots de Kaspersky, en France comme dans le monde, est la transparence, pour répondre à des risques, fussent-ils théoriques, et à un éventuel manque de confiance, tel qu’il a pu exister. L’entreprise a mis en place depuis 2017 une initiative mondiale de transparence (global transparency initiative, GTI), qui nous semble l’un des programmes les plus avancés, voire le plus avancé dans le domaine. Il s’agit également d’une réponse aux enjeux de souveraineté de nos clients. Nous pourrons y revenir si vous le souhaitez.

Je vous propose de revenir sur quelques évolutions récentes du paysage des cybermenaces, notamment du fait de la crise sanitaire, mais non uniquement.

Kaspersky distingue classiquement trois types de menaces. Le premier est celui de la cybercriminalité traditionnelle, qui représente environ 80 % du volume des fichiers que nous détectons. Ces menaces sont en réalité assez faciles à détecter, et se traitent automatiquement. Il s’agit souvent de criminels traditionnels qui se sont mis au cyber, en considérant qu’il procédait d’un bon business model, avec des risques limités.

Le deuxième étage est celui des menaces ciblées, qui visent principalement des organisations. Elles représentent environ 20 % du volume total des détections, et sont déployées par des groupes d’attaquants beaucoup plus spécialisés, organisés, voire très professionnels. Les rançongiciels en sont un très bon exemple.

La dernière catégorie est celle des cyberarmes, déployées par des groupes étatiques ou paraétatiques ; elles ne représentent que 0,01 % du volume, mais ces attaques sont très visibles. Elles peuvent avoir des objectifs d’espionnage ou de sabotage, voire des visées financières dans certains cas très précis – je pense notamment aux attaques de la Corée du Nord cherchant à obtenir des devises. Dans cette dernière catégorie, la question de l’attribution des cyberattaques est une tâche très complexe.

Nous constatons une augmentation constante des cyberattaques depuis la création de Kaspersky. En 1994, on détectait un nouveau virus ou fichier malveillant par heure : le rythme est passé à un virus par minute en 2006, un virus par seconde en 2011. Les chiffres continuent à augmenter : 350 000 virus étaient détectés chaque jour en 2019 ; en 2020, en partie à cause de la situation sanitaire et du confinement, on atteignait 428 000 virus par jour, soit une progression de 25 % des détections en un an. La situation liée à la covid-19 et aux restrictions de déplacements a entraîné une augmentation de certains types de cyberattaques. Je pense notamment aux attaques de services d’accès à distance (remote desktop protocol, RDP) ou aux rançongiciels ciblés sur les établissements de santé, par exemple. Nous essayons néanmoins de relativiser ce constat en observant qu’il n’y a pas eu de progression exponentielle, mais une progression stable des attaques. La progression de ces derniers mois est également due à l’élargissement de la surface d’attaque : augmentation du temps passé sur Internet, du travail à distance, avec des équipements souvent moins bien protégés que ceux des entreprises, et recours à des ressources éducatives en ligne. Dans ce dernier cas, nous avons vu d’autres types d’attaques, comme celles par déni de service (DDoS), qui se sont beaucoup développées lors du premier confinement en mars dernier, et la semaine dernière encore en France. Ceci est dû aussi bien sûr au développement des objets connectés.

Pour finir, je voudrais revenir sur plusieurs tendances récentes que nous avons observées.

La première est le développement des attaques sur mobile. On protège aujourd’hui largement son ordinateur, mais on pense rarement à son smartphone, qui contient pourtant toute notre vie numérique. Il s’agit selon nous d’un axe de progrès important.

L’explosion des rançongiciels ciblés, qui visent beaucoup les entreprises, collectivités territoriales et établissements de santé, est une autre tendance majeure. Nous avons constaté au cours des deux dernières années un transfert des rançongiciels non discriminés, visant des dizaines de milliers de personnes, dont beaucoup de simples utilisateurs, à un ciblage ces derniers mois des grandes organisations, en particulier les grandes entreprises, qui ont les moyens de payer et sont plus susceptibles de le faire, car la perturbation de l’activité risque de fortement impacter la vie de leurs utilisateurs.

Un troisième phénomène est la structuration importante et la professionnalisation de l’écosystème cybercriminel. C’est notamment le cas pour les rançongiciels dont nous venons de parler. On a souvent l’impression que l’entreprise a affaire à un seul groupe de hackers, mais elle est en réalité confrontée à une dizaine de parties prenantes distinctes, l’un des groupes se chargeant du développement du rançongiciel, le deuxième fournissant les accès, un troisième se chargeant du contact client (certains faisant même appel à un standard téléphonique pour faire des relances), un autre encore se chargeant du blanchiment d’argent. Il s’agit aujourd’hui d’un écosystème très complexe, très structuré, et contre lequel il est d’autant plus difficile de lutter. C’est pour cette raison que la collaboration nous semble importante.

Enfin, les attaques dites par chaîne d’approvisionnement (supply chain) visent la chaîne logistique, et consistent souvent à passer par un sous-traitant pour atteindre la cible finale. Un exemple a fait beaucoup de bruit, depuis le mois de décembre 2020, avec l’attaque, sans doute liée à de l’espionnage, de Sunburst sur les produits SolarWinds, qui a notamment affecté des entités américaines. Sur ce type de sujets, de même que pour les attaques d’infrastructures critiques, nous avons constaté une montée en compétences des cyberattaquants, et un activisme accru de certains acteurs que l’on ne voyait pas auparavant. Je pense en l’occurrence à des États, qui ont développé leur capacité cyber et montent en compétences sur les cyberarmes, éventuellement en achetant des outils sur les marchés noirs à d’autres acteurs.

En conclusion, je dirais qu’au vu de tous ces enjeux, il est essentiel de promouvoir la cybersécurité par conception, voire la cyberimmunité des produits. C’est un concept que nous essayons de promouvoir, et qui consiste à redémarrer sur la base de systèmes d’exploitation totalement sécurisés. Beaucoup de systèmes de contrôle industriel (supervisory control and data acquisition, SCADA) ont été designés il y a des dizaines d’années et ne sont plus au niveau. Ils imposent de redémarrer de zéro. La sécurité par conception, le partage d’informations et les partenariats publics-privés sont essentiels.

Cyber Malveillance et le Cyber Campus, que vous avez je crois auditionnés, nous semblent des acteurs clefs dans ce domaine. La collaboration est le seul moyen qui nous permettra de répondre efficacement aux cybermenaces en constante évolution.

M. Philippe Latombe, rapporteur. Selon vous, qu’est-ce que la souveraineté numérique ? Vous êtes Européen, mais travaillez pour une société non européenne : comment voyez-vous cette notion monter ? Progresse-t-elle assez vite pour être perçue comme un enjeu, par exemple un frein, pour Kaspersky ?

M. Arnaud Dechoux. Nous sommes nés en Russie, mais pas un acteur tout à fait russe aujourd’hui. La société est immatriculée à Londres. Kaspersky France est une structure totalement française.

M. Philippe Latombe, rapporteur. Vous restez non européens.

M. Arnaud Dechoux. Ce n’est effectivement plus un bon argument, sinon pour les aspects culturels.

La notion de souveraineté numérique est évidemment un sujet extrêmement important. Un acteur international comme Kaspersky a pu observer la montée de ces enjeux de souveraineté partout dans le monde. Le terme de souveraineté numérique n’est pas forcément celui qui est utilisé ailleurs, et l’on peut nous demander, en Russie ou dans d’autres pays, ce que signifie exactement cette notion, qui est surtout utilisée en Europe.

Le concept se décline selon nous à trois niveaux – la souveraineté des États, celle des organisations et celle des utilisateurs ou citoyens, avec des enjeux distincts. Pour ce qui est de la souveraineté des solutions et des services numériques, nous pensons à plusieurs grands principes. Sans surprise, elle implique pour les utilisateurs le contrôle complet de leurs données (savoir où elles vont, pouvoir choisir avec qui elles sont partagées). Du point de vue du commanditaire, que ce soit un État ou une entreprise, elle renvoie à la maîtrise et à la connaissance des solutions informatiques utilisées. Le Cigref soulignait que les outils informatiques sont censés faire ce qu’ils doivent faire, et rien d’autre. Nous adhérons pleinement à cette définition. Cela passe beaucoup par la transparence des éditeurs des solutions de cybersécurité ou d’autres solutions. La possibilité d’auditer le code source, que nous avons essayé de promouvoir par notre initiative mondiale de transparence, nous semble à cet égard un axe clef.

Vous avez mentionné le fait d’être ou non européen. Cela ne vous surprendra pas, mais la souveraineté doit selon nous, en vertu des valeurs européennes, passer par la libre concurrence et la non-discrimination. À ce titre, la nationalité d’origine de l’éditeur ne nous semble pas un élément pertinent. On peut bien sûr en tenir compte, mais elle doit être associée à d’autres facteurs, comme la confiance en l’éditeur, sa structure capitalistique, sa manière de gérer les données, l’assurance que l’on peut avoir que les données ne sont pas transmises.

Le dernier principe qui nous semble important pour qu’un État ou une entreprise puissent assurer leur souveraineté numérique est le fait que les prestataires de services ou de solutions respectent les valeurs européennes et coopèrent avec les autorités. Ce point est particulièrement important dans le secteur de la cybersécurité en particulier, où l’on voit beaucoup de coopérations entre les entreprises et les forces de l’ordre, pour des investigations conjointes ou pour du partage d’expertise plus généralement avec la société civile et le monde académique.

Pour ce qui est des opérations conjointes, citons l’exemple de la saisie du serveur de command and control d’un groupe cybercriminel par des forces de police : ces dernières peuvent faire appel à une société comme Kaspersky pour aider à l’analyse du serveur afin d’essayer de remonter à la source et de trouver des clefs de déchiffrement de rançongiciels. Une initiative a très bien fonctionné sur le sujet, la plateforme No More Ransom, lancée en 2016 par la police néerlandaise, Europol, Kaspersky et McAfee. Cette plateforme réunit aujourd’hui plus de cent soixante parties prenantes, dont beaucoup de polices européennes. La police et la gendarmerie françaises en font partie. L’objectif est de donner des clefs de déchiffrement gratuitement aux personnes victimes de rançongiciels. Cette plateforme est bien sûr moins utile aujourd’hui, puisque les rançongiciels sont désormais beaucoup plus ciblés et complexes qu’auparavant. Il s’agit en tout cas d’un bon exemple de partenariat qui fonctionne.

En conclusion sur la souveraineté numérique, la non-dépendance vis-à-vis d’un fournisseur unique nous paraît un élément important pour un État ou une entreprise. En l’occurrence, la cybersécurité est un secteur relativement fragmenté, à la différence de celui de l’hébergement cloud. Il existe de nombreuses solutions, européennes ou non, permettant à un État de choisir au mieux et de ne pas être pieds et poings liés avec un éditeur. La question n’est pas tout à fait la même.

M. Philippe Latombe, rapporteur. La question n’est effectivement pas tout à fait la même entre le cloud et la cybersécurité, mais percevez-vous chez vos clients une demande de plus en plus importante de solutions de type souveraines ? Cela fait-il partie des critères mis en avant, et recevez-vous des questions sur le sujet, ce qui vous obligerait à le déminer, sachant que vous n’êtes pas directement européen ? Une campagne a été menée disant que Kaspersky avait ouvert des backdoors pour les services russes. Cette situation vous pénalise-t-elle ? Quel est votre état d’esprit sur le sujet ?

M. Arnaud Dechoux. Je vous remercie de cette question très pertinente. Notre réponse est tout à fait positive. Nous percevons chez tous les clients, en particulier les grandes entreprises ou les intégrateurs qui revendent leurs services à d’autres entreprises, la montée de ces enjeux de souveraineté. Je ne saurais pas vous dire si le sujet est formalisé de manière juridique dans les appels d’offres, mais la question nous est systématiquement posée. Cette question est d’ailleurs peut-être moins posée à des acteurs d’origine anglo-saxonne.

En 2017, Kaspersky a été accusé, selon nous de façon complètement infondée, d’avoir installé des backdoors ou transmis des informations récoltées. Le manque de confiance généré n’aide pas la communauté à mieux se protéger. Nous pensons qu’il faut rétablir la confiance, ce qui passe par de la collaboration, pour mieux se protéger contre ces cyberattaques, qui peuvent venir de l’étranger, et en tout cas pas de la porte d’à côté.

Nous avons essayé de répondre au manque de confiance à travers une initiative lancée en 2017, qui répond également aux enjeux de souveraineté, même si le terme n’existait pas encore à l’époque.

Le premier socle est la relocalisation du cœur de l’infrastructure de stockage et de traitement des données de nos clients en Suisse. Les données étaient auparavant hébergées dans des datacenters localisés à Moscou : la Suisse a été choisie, car elle est un symbole d’indépendance, et parce que nous possédions déjà des datacenters à proximité de Zurich. Toutes les données des clients européens y ont été relocalisées dans un premier temps. Nous y avons ensuite, en 2018, 2019 et 2020, transféré celles des clients nord-américains et d’une partie importante des pays asiatiques. De nombreuses réticences ont été soulevées en interne par des personnes qui estimaient que la localisation des données n’était pas un facteur pertinent pour la cybersécurité, mais les mentalités ont ensuite changé. Nous avons vu tout l’intérêt de ce genre d’approche, que nous poursuivrons.

Le deuxième pilier est l’ouverture de centres de transparence. Des centres ont été adossés au datacenter de Zurich, nous en avons également ouvert à Madrid, au Brésil, en Malaisie et depuis peu au Canada. L’objectif est de permettre à nos clients et partenaires, qui sont souvent des agences de cybersécurité nationales, de venir auditer notre code source, et toutes les mises à jour des solutions. Vous évoquiez l’accusation de mise en place de backdoors : cela peut notamment se faire par des mises à jour. Pour un client, entreprise ou autre, la possibilité d’auditer l’ensemble de l’historique des mises à jour nous semble un facteur capital. Nous ne sommes pas la seule entreprise à avoir mis en place ce type de dispositif de transparence, mais le nôtre est particulièrement avancé. Je vous mentirais si je vous indiquais que des centaines d’entreprises viennent auditer notre code source : vingt à trente parties prenantes sont venues le faire depuis l’ouverture des centres de transparence. Il faut beaucoup de ressources pour auditer complètement les solutions informatiques, même si elles restent plus faciles à auditer qu’une infrastructure 5G, qui représente des millions de lignes de code. En tout cas, cette possibilité existe, et il s’agit d’une preuve de confiance importante pour les entreprises ou les autorités publiques.

L’avant-dernier pilier est l’audit des processus internes par des tiers que sont les grands cabinets d’audit reconnus mondialement, lesquels passent en revue le développement et les bases des règles de détection des menaces, pour s’assurer qu’ils sont protégés de toute modification non autorisée, par de robustes mesures de sécurité. Un certain nombre de certifications existent dans le domaine de la cybersécurité, notamment la norme ISO 27001, que nous avons obtenue auprès d’un organisme autrichien.

Le tout dernier pilier, qui me semble également intéressant pour votre question relative à la souveraineté numérique, est la gestion des vulnérabilités. Nous en retrouvons dans à peu près toutes les solutions informatiques, en particulier celles qui ont été conçues il y a très longtemps. Les solutions de Kaspersky n’échappent pas à la règle. Nous avons mis en place un dispositif clair pour faire en sorte que les chercheurs puissent auditer nos solutions, sans être attaqués en justice – comme cela s’est fait dans d’autres entreprises. Nous avons également publié nos principes éthiques de gestion des vulnérabilités que nous trouvons dans les solutions d’autres entreprises. Un certain nombre d’étapes doivent être suivies : il faut bien sûr prévenir en premier lieu l’entreprise victime, faire en sorte qu’elle puisse corriger la vulnérabilité, avertir ses clients en temps et en heure, de façon privée dans un premier temps, puis publiquement par la suite. Il y a un certain nombre de bonnes pratiques à suivre. Il est à l’avantage des autorités publiques, au niveau français ou européen, de promouvoir ces bonnes pratiques en matière de gestion des vulnérabilités.

M. Philippe Latombe, rapporteur. Vous avez évoqué dans votre propos liminaire le fait que l’on parlait beaucoup de cybersécurité pour les ordinateurs, les datacenters, les applications dans le cloud, et moins pour les téléphones mobiles, smartphones et, à terme, les objets connectés. Est-ce normal, dans le sens où nous avons déjà suffisamment à penser pour les ordinateurs, et où la réflexion sur les mobiles viendra plus tard ? De grandes entreprises ou organisations pensent-elles d’ores et déjà à la cybersécurité de leurs systèmes de télécommunications ?

M. Arnaud Dechoux. Nous assistons à un basculement très rapide des utilisations vers le mobile. Les smartphones sont aujourd’hui utilisés pour toute notre vie numérique, que ce soit pour les activités professionnelles ou personnelles. De plus en plus d’attaques visent spécifiquement les mobiles, déployées par des cybercriminels classiques ou par des États – les cyberarmes ciblant ainsi de plus en plus les mobiles.

Les enjeux sont probablement différents pour les objets connectés, qui sont produits par des entreprises qui ne sont pas spécialisées dans le numérique – qu’il s’agisse de dispositifs médicaux connectés, des imprimantes, des systèmes de ventilation, qui constituent autant de portes d’entrée pour ces cybercriminels. Beaucoup d’intrusions informatiques ont eu lieu ces dernières années à cause de portes qui n’étaient pas fermées.

Il convient pour y faire face de développer des certifications pour tous ces appareils. L’agence de l’Union européenne pour la cybersécurité (ENISA) travaille activement à l’élaboration d’un certain nombre de certifications, notamment pour les objets connectés. Cela nous semble une piste importante : il est nécessaire d’harmoniser l’approche européenne sur le sujet. L’ANSSI effectue d’excellentes qualifications et certifications, mais il est particulièrement important, surtout pour des acteurs internationaux comme nous, de mettre en œuvre une certaine harmonisation

Le deuxième enjeu est la sensibilisation. Les utilisateurs pensent encore très peu à sécuriser leurs objets connectés. De nombreuses solutions existent pourtant, notamment des solutions gratuites : nous essayons d’insister sur ce point. De très nombreux antivirus pour mobile fonctionnent très bien, détectent les mêmes attaques que sur les ordinateurs, et ont souvent des versions gratuites. De même, les gestionnaires de mots de passe changent la vie, permettent de créer des mots de passe beaucoup plus sécurisés et font gagner beaucoup de temps. Le fait de sensibiliser les entreprises et le grand public permettra d’atteindre très rapidement les objectifs, et de renforcer l’hygiène numérique au niveau national.

M. Philippe Latombe, rapporteur. Comment Kaspersky travaille-t-il avec des start-up ? Examinez-vous comment elles fonctionnent, pour savoir dans quelle voie il serait intéressant de travailler ? Collaborez-vous avec elles ? Les achetez-vous ? Les incubez-vous pour nouer ensuite des partenariats ? Comment rester à la pointe ? Les GAFAM achètent pour intégrer directement. Comment procédez-vous ?

M. Arnaud Dechoux. Notre business model est tout à fait différent. Kaspersky développe historiquement beaucoup en interne : un tiers des salariés travaille en recherche et développement. L’entreprise n’a pas l’habitude de réaliser du développement externe et d’acquérir des entreprises. Nous regardons ce qui se fait ailleurs, investissons beaucoup dans certaines technologies comme l’Intelligence artificielle (même si nous n’aimons pas le terme) et le machine learning, qui permet d’améliorer la détection des fichiers malveillants, en utilisant différentes techniques, notamment l’analyse comportementale. Il ne s’agit pas seulement aujourd’hui de détecter un fichier entrant, mais d’examiner des comportements inhabituels, qui peuvent générer certaines alertes. Nous investissons dans ces technologies, mais rachetons peu de sociétés.

Nous pouvons nouer des partenariats : l’un des axes importants de développement de Kaspersky est constitué des systèmes industriels, qui sont très visés. En 2019, 45 % des ordinateurs industriels protégés par les technologies Kaspersky étaient visés par des cyberattaques, qu’il s’agisse de fichiers malveillants classiques ou spécifiquement calibrés pour l’industrie. Pour développer des sondes réseau, des systèmes d’exploitation sécurisés, nous nouons des partenariats.

Kaspersky n’a pas racheté récemment d’entreprises françaises ou européennes. Tout peut changer, mais ce n’est pas la manière dont nous fonctionnons aujourd’hui.

M. Philippe Latombe, rapporteur. Excluez-vous totalement de tels rachats, ou pourraient-ils se produire à la marge si une opportunité se présentait ?

M. Arnaud Dechoux. Cela ne s’est pas fait pour l’instant, mais je ne pense pas que ce soit exclu si nous trouvons le bon partenaire pour telle utilisation particulière, ou pour faire une acquisition. L’essentiel est de trouver le bon partenariat. Nous travaillons par exemple beaucoup avec Siemens dans le domaine de la cybersécurité industrielle, les Allemands étant en pointe sur le sujet, notamment dans le secteur énergétique automobile. Nous poursuivrons ce type de démarche, sans nous interdire de faire une acquisition. Je n’ai cependant pas de scoop à ce stade.

M. Philippe Latombe, rapporteur. Je ne vous en demandais pas.

Comment voyez-vous le marché de la cybersécurité dans les deux à trois ans à venir ? Se développera-t-il fortement ? Sur quels types de technologies se développera-t-il ? À quoi sera lié le développement : les attaques extérieures qui lui feront de la publicité, la prise de conscience des directeurs des services informatiques (DSI) et responsables de la sécurité des systèmes informatiques (RSSI) ou la publicité des pouvoirs publics ?

M. Arnaud Dechoux. Les trois facteurs cités joueront. Nous nous attendons, sans surprise, à une progression stable du secteur de la cybersécurité, notamment pour les entreprises grandes et petites, en lien avec le développement des attaques elles-mêmes, de la part de groupes cybercriminels ou de groupes étatiques ou paraétatiques. Ces derniers mois, les rançongiciels ont fait l’actualité. Il n’y a aucune raison qu’ils disparaissent. Tout porte à croire que les cybercriminels continueront à mener ce genre d’attaques, d’autant que les entreprises paient fréquemment. Divers rapports parus ces derniers mois mentionnaient 30 %, 50 %, voire 70 % de paiements, ce qui alimente tout un écosystème criminel.

Des technologies de rupture sont parfois citées comme étant importantes dans le domaine de la cybersécurité. Nous pensons notamment à l’informatique quantique ; les ordinateurs quantiques parviendront-ils à casser les outils de chiffrement aujourd’hui utilisés pour protéger les données ? Beaucoup d’incertitudes demeurent sur le sujet. A priori, les algorithmes de chiffrement les plus avancés permettront de résister à des attaques quantiques, mais il faut continuer à investir et à utiliser dès maintenant les solutions de chiffrement les plus avancées pour prévoir cette nouvelle phase, qui peut intervenir d’ici cinq, dix ou quinze ans.

La deuxième technologie de rupture est le machine learning.

Pour ces différentes raisons, nous estimons que la cybersécurité continuera à progresser, peut-être davantage dans le secteur des entreprises et des organisations. Pour les particuliers, elle est de plus en plus intégrée aux outils mis à disposition par les constructeurs informatiques. Le paysage évolue beaucoup dans ce domaine, et continuera à se structurer en tout cas pour les entreprises.

M. Philippe Latombe, rapporteur. La cybersécurité des smartphones, mais aussi de l’ensemble des devices 5G (objets, antennes, etc.) fera-t-elle l’objet d’une attention croissante et d’un marché spécifique de la cybersécurité ?

M. Arnaud Dechoux. La réponse est ici encore clairement positive. Nos chercheurs du GReAT estiment que l’on découvrira de plus en plus de vulnérabilités dans la technologie 5G. C’est mathématique : quand une nouvelle technologie apparaît, tout le monde en cherche les vulnérabilités, et on en trouve forcément, que ce soient des chercheurs ou les cybercriminels, qui sont sans doute ceux qui investiront le plus de temps et de moyens. En matière de 5G, ces questions de cybersécurité arriveront nécessairement dans les prochains mois, avec des attaques, des opérations d’espionnage ou de sabotage. Une vraie attention est donc requise de la part des commanditaires comme des utilisateurs, dès lors que la 5G augmentera fortement la surface d’attaque. Je n’ai pas une vision claire des dispositions de cybersécurité existantes pour la 5G, mais tout laisse à penser qu’elles seront amenées à se développer dans les prochains mois. Le phénomène est le même que pour le cloud, qui s’est développé de manière exponentielle ces dernières années, et a bénéficié de nouvelles technologies de cybersécurité, notamment pour le chiffrement des infrastructures. Amazon Web Services et Microsoft Azure proposent déjà une brique de chiffrement : les entreprises peuvent y ajouter une brique, pour obtenir une protection supplémentaire. Je pense que ce sera la même chose pour la 5G.

M. Philippe Latombe, rapporteur. Puisque nous parlons de cloud, la sécurité dans ce domaine est-elle au niveau de celle qui existe pour un serveur physique propriétaire ?

M. Arnaud Dechoux. C’est une question complexe. Tout dépend de la manière dont est protégé et configuré le serveur physique.

M. Philippe Latombe, rapporteur. On nous dit que le Cloud Act a invalidé le Privacy Shield, et que les clauses contractuelles types et les mesures de protection doivent localiser les données en Europe et les chiffrer, au repos comme en mouvement. De votre point de vue d’expert, sommes-nous en capacité de garantir (Kaspersky étant réputé pour cela) que des données au repos ou en mouvement sur le cloud sont chiffrées de sorte qu’elles soient quasi inaccessibles ? Ces données ne peuvent pas être considérées comme inaccessibles, par nature : mathématiquement, il existe toujours une possibilité de les déchiffrer, mais est-ce tellement compliqué que cela en devienne une vraie protection ? Est-on capable de le garantir ? C’est une des questions qui font que l’on utilise encore pour des données sensibles des clouds américains, en se protégeant derrière cette sorte de bouclier. Ce bouclier est-il aujourd’hui suffisant selon Kaspersky ?

M. Arnaud Dechoux. Le niveau général de protection des infrastructures du cloud nous paraît très bon. Pour se protéger contre des accès tiers, il faut utiliser une brique de chiffrement et de gestion d’accès tierce. Beaucoup d’acteurs français proposent ce service – Atos ou autres –, en plus du service de l’hébergeur américain ou autre. Avec ces prestataires tiers, on arrive à un excellent niveau de protection.

Au-delà de l’aspect technique, la question se pose ensuite des assurances que l’hébergeur cloud peut apporter que personne d’autre ne pourra avoir accès aux données, et de la manière dont il peut gérer les vulnérabilités. Ces derniers mois, des vulnérabilités ont été trouvées sur les serveurs Microsoft Exchange : cette découverte a été largement exploitée par tous types d’acteurs, a priori, d’autant qu’elle n’a pas pu être corrigée suffisamment tôt. Des acteurs malveillants ont pu en tirer profit. La question est celle de la manière dont ces vulnérabilités sont gérées, depuis le moment auquel les clients sont informés, pour que l’éditeur puisse patcher la vulnérabilité et tous les utilisateurs mettre à jour leur logiciel en temps et en heure. Dans les petites entreprises et les petites collectivités territoriales, le problème est souvent que les mises à jour ne sont pas faites rapidement, même si l’information est rapidement disponible. Le CERT de l’ANSSI est extrêmement efficace et reconnu : il publie des alertes très régulièrement. Encore faut-il que les petits acteurs en aient connaissance et mettent à jour leurs solutions rapidement pour corriger les failles. Nous en revenons aux questions de sensibilisation et d’hygiène numérique. C’est probablement ici que le bât blesse : les mises à jour et la gestion des vulnérabilités.

M. Philippe Latombe, rapporteur. Parmi les menaces existantes, nous avons constaté l’existence d’une mode d’attaque sur les hôpitaux, pour ainsi dire. Ont-ils été attaqués en raison de la crise sanitaire, parce qu’ils possédaient des informations sensibles, ou parce qu’ils étaient faciles à attaquer ? Vous avez indiqué dans votre propos liminaire que la fréquence de circulation des virus était beaucoup plus importante aujourd’hui, d’un par jour à un par heure et un par seconde. S’agit-il d’abord d’attaques criminelles, ou d’attaques géopolitiques ? Quelles sont leurs proportions respectives ? Comment s’en prémunir en France et en Europe, en parvenant à distinguer ce qui est de nature criminelle de ce qui relève du géostratégique ?

Je prends l’exemple de l’attaque du Centre national de l’enseignement à distance (CNED) la semaine passée, attribuée aux Russes. Pourquoi effectuer une attaque en déni d’accès au service ? Quel est l’intérêt ? S’agit-il vraiment d’une attaque criminelle ? Aucune rançon n’a manifestement été demandée. À quoi servait l’attaque ?

M. Arnaud Dechoux. C’est une excellente question. Pour ce qui est des établissements de santé, les attaques s’expliquent, d’une part, parce qu’ils sont moins bien protégés, et, d’autre part, parce qu’un rançongiciel perturbe fortement leur activité, et qu’ils sont bien plus susceptibles de payer. En Allemagne, l’année dernière, on a fait état du premier décès dû à un ransomware, un hôpital touché ayant dû transporter un patient dans un autre hôpital, lequel patient est mort pendant le transfert. Je ne connais pas les détails de cette affaire, qui montre cependant bien les impacts concrets qui peuvent inciter un établissement de santé à payer une rançon plus qu’une autre victime d’attaque. Au début du confinement, l’année dernière, un collectif de hackers s’est engagé publiquement à ne pas attaquer des établissements de santé. Cela a fait long feu : les attaques ont été multipliées par quatre ou cinq pour les établissements français, selon les chiffres de l’ANSSI.

Il s’agit ici à mon sens plutôt d’attaques criminelles à visée financière. Néanmoins, vous avez raison de souligner cette question : il existe une vraie porosité entre cybercriminels et acteurs étatiques.

Ils peuvent, d’une part, se revendre des outils ou des accès sur le marché noir. On a constaté une vraie progression de ce phénomène au cours des derniers mois, sinon pour la Chine ou la Russie, du moins avec des acteurs secondaires comme l’Iran, qui avaient moins de capacités cyber, mais ont fortement progressé au cours des dernières années.

D’autre part, une attaque à visée économique peut cacher autre chose. Un service de renseignement voulant réaliser des actions d’espionnage peut compromettre certains postes et y installer des sondes ou autres, puis revendre les accès sur le marché noir à un groupe cybercriminel y déployant par la suite un ransomware. Il est parfois très compliqué de dire qui est derrière une attaque. Plusieurs acteurs peuvent être impliqués. Il s’agit d’un vrai enjeu aujourd’hui, et nous avons besoin de travailler avec les différents pays et acteurs industriels et académiques pour y répondre mieux.

Pour ce qui est des attaques du CNED, je ne suis pas dans le secret des dieux. J’ai lu dans la presse que l’attaque viendrait de Russie ou de Chine. Néanmoins, je doute que des services de renseignements ou autres groupes étatiques aient commandité ce genre d’attaque. Un scénario que nous pouvons envisager est que des acteurs français ou étrangers aient fait appel à des botnets, ou réseaux d’ordinateurs zombies, envoyant beaucoup de requêtes sur le site du CNED ou d’un espace numérique de travail (ENT) pour le faire tomber. C’est déjà ce qui s’était largement produit en mars 2020, au début du premier confinement, lorsque de nombreux instituts éducatifs passaient au numérique. Nous avions déjà constaté une forte augmentation de ces attaques par déni de service, venant de réseaux d’ordinateurs situés à l’étranger. Nous voyons effectivement des adresses IP venant de l’étranger, mais je doute que ces attaques soient commanditées par un État – même si je n’ai pas d’information précise sur l’attaque du CNED de la semaine dernière. Cela illustre en tout cas encore une fois l’interaction constante entre tous ces acteurs, et le fait que ce soit une problématique mondiale.

M. Philippe Latombe, rapporteur. Avec l’incendie d’OVH à Strasbourg, nous avons constaté qu’un certain nombre d’entreprises ou d’administrations, qui lui avaient confié leurs données, avaient complètement oublié les règles de base des plans de continuité et de reprise d’activité (PCA et PRA). Lorsque Kaspersky contracte avec un client, a-t-il pour rôle de le conseiller sur ce type de sujet ? Votre objectif est d’éviter qu’un rançongiciel bloque l’entreprise cliente, mais vous ne pouvez pas tout protéger. La sensibilisation à ce sujet fait-elle partie de la prophylaxie que vous mettez en place lorsque vous contractez avec vos clients ?

M. Arnaud Dechoux. Sur le principe, cela est le cas, mais dans les faits, le rôle de Kaspersky est limité à la fourniture de solutions informatiques ainsi qu’à l’aide et au support à sa configuration et à son maintien. L’établissement de plans de résilience et de restauration est plutôt du rôle du consultant, de l’intégrateur ou du revendeur de la solution. Nous ne sommes pas toujours aux côtés du client directement : ce sont souvent des intégrateurs ou des sociétés de conseil qui assurent ce rôle. L’incendie d’OVH a effectivement très bien montré cette nécessité, qui n’est pas encore une réalité en France.

M. Philippe Latombe, rapporteur. Qui serait le bon interlocuteur pour des TPE, PME et entreprises de taille intermédiaire (ETI) sur des questions de cybersécurité ? S’agit-il de Bpifrance, lorsqu’elle finance la montée en compétences numériques des entreprises ? S’agit-il de l’intégrateur, qui est leur interlocuteur au moment de la mise en œuvre ? S’agit-il de l’expert-comptable, qui est l’interlocuteur naturel de ce type d’entreprise ? Est-ce l’assureur, qui doit augmenter ou baisser ses primes en fonction du niveau de protection ? Tout le monde doit-il prendre sa part ? Est-ce suffisant dans ce cas ? Selon vous, comment faire pour diffuser cette culture de la cybersécurité by design, plutôt qu’après avoir pensé le système d’information ? Quel est l’interlocuteur le plus facile pour l’entreprise ?

M. Arnaud Dechoux. Cette question est compliquée. Il peut exister plusieurs canaux. La puissance publique a sans doute un rôle à jouer dans la commande, en instaurant des seuils de budgets dédiés à la cybersécurité. C’est ce que le gouvernement a fait pour la première fois dans le volet cyber du plan de relance, qui impose aux établissements de santé de consacrer 5 % à 10 % de leur budget IT à la cybersécurité. Cela me semble une première piste.

Pour le reste, il convient de passer par les acteurs que vous avez mentionnés. J’y ajoute Cybermalveillance, né en 2017 seulement, mais qui s’est beaucoup développé depuis cette date. Il s’agit d’un réel succès, qui manque toutefois encore de notoriété. Alors que l’ANSSI se charge très bien des grands opérateurs, collectivités territoriales ou autres, Cybermalveillance doit mener les mêmes tâches pour tous les autres acteurs. Je pense qu’il faut leur donner plus de moyens et de visibilité, en réalisant des campagnes grand public.

Un autre type d’acteurs pour les collectivités territoriales est celui des opérateurs publics de services numériques (OPSN). Ils sont une cinquantaine en France, regroupés au sein de l’association Déclic. Ils aident à la mutualisation et au soutien informatique, en particulier cyber, de toutes les petites collectivités territoriales, qui sont souvent celles qui se font attaquer aujourd’hui. Il faut miser sur ces acteurs. De manière générale, la mutualisation et la régionalisation sur lesquelles le gouvernement a souhaité insister dans son plan de relance cyber me semblent de très bons axes d’action. Les OPSN sont des interlocuteurs existants sur lesquels il est pertinent de se baser, pour les collectivités locales en particulier.

M. Philippe Latombe, rapporteur. Nous en prenons bonne note. Voyez-vous un sujet que nous n’aurions pas abordé et que vous voudriez mentionner ?

M. Arnaud Dechoux. Non, c’était très complet. Nous n’avons pas parlé beaucoup du niveau européen. Je voudrais simplement souligner que la dernière stratégie européenne de cybersécurité me semble très solide. Les autorités françaises et l’ANSSI ont elles-mêmes indiqué être satisfaites de ce nouveau plan, même s’il doit sans doute être renforcé sur certains points. Pour notre part, nous insistons sur le nécessaire renforcement des dispositifs de partage d’information et de collaboration entre public et privé, qui nous semble un moyen important de progresser. En tout cas, beaucoup de choses peuvent et doivent se faire au niveau européen. Nous continuerons à suivre ces sujets.

Audition, ouverte à la presse, de M. Laurent Degré, président-directeur général de la société Cisco Systems France et de M. Bruno Bernard, directeur des affaires publiques de la société Cisco Systems France (13 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le Président Jean-Luc Warsmann. M. Laurent Degré est président-directeur général de la société Cisco Systems France, M. Bruno Bernard, son directeur des affaires publiques.

Cisco Systems est une entreprise informatique américaine fondée en 1984 et spécialisée dans les matériels informatiques et les solutions de cybersécurité. Vous avez un large champ d’action, qui devrait nous permettre de balayer un grand nombre de sujets, des enjeux cyber à l’identité numérique, en passant par la transformation numérique des entreprises.

M. Philippe Latombe, rapporteur. M. le président-directeur général, j’aimerais d’abord vous interroger sur votre acception de la notion de souveraineté numérique. Cette notion revêt une grande diversité de définitions. Que recouvre pour vous ce concept, que l’on rapproche parfois d’une forme d’autonomie stratégique et décisionnelle, et de quelle façon les politiques menées par les États peuvent-elles ou doivent-elles évoluer pour mieux intégrer cette composante stratégique ?

En second lieu, je voudrais que nous échangions sur l’écosystème des entreprises du numérique. Cisco mène des activités variées, dans des domaines comme le matériel informatique, mais aussi la cybersécurité. Comment vous positionnez-vous sur le marché européen ? Comment appréhendez-vous notamment le sujet de l’identité numérique, sur lequel nous travaillons au sein de cette mission d’information ?

De façon plus générale, je voudrais vous entendre sur les attentes de vos clients, dont certaines entreprises françaises font partie. À l’occasion de cette crise sanitaire durable, avez-vous observé des changements dans leur comportement numérique ? Peut-on dire que la crise sanitaire a accéléré leur sensibilisation face au risque cyber, par exemple ? À l’inverse, comment peut-on expliquer les difficultés que certaines entreprises continuent de rencontrer à l’heure actuelle pour se numériser ? Quelles seraient selon vous les solutions ?

Enfin, je voudrais évoquer la question de la formation aux compétences numériques. Quel regard portez-vous sur le niveau du système de formation français à cet égard ? Un Campus Cyber est par exemple en cours de déploiement, visant à rassembler un vivier d’acteurs de pointe. Comment jugez-vous ces différentes initiatives mises en œuvre en France ? Existe-t-il leur équivalent dans les pays au sein desquels vous êtes présents ?

M. Laurent Degré, président-directeur général de la société Cisco Systems France. Je voudrais en premier lieu revenir sur ce qu’est Cisco, ce que nous faisons et ce que nous ne faisons pas, ce qui peut être important pour la suite des questions que vous avez abordées. Cisco est comme vous l’avez précisé une société née en 1984. Notre métier est simple : il s’agit de connecter les applications, les équipements, les personnes, de transporter les flux d’information et de les sécuriser. L’entreprise compte 77 000 salariés dans le monde, dont 700 en France, un certain nombre d’entre eux étant des chercheurs. Ces derniers ont notamment intégré la société anciennement appelée Sentryo, une pépite de la cybersécurité dans le monde industriel.

Notre métier n’est pas le commerce de la donnée : nous la transportons et la sécurisons. La cybersécurité est en revanche notre métier, du point de vue de l’outillage, des solutions logicielles et matérielles, ainsi que de la manière dont nous développons nos produits, dont nous interagissons avec nos prestataires et dont nous intégrons la sécurité de la conception à la fabrication.

Notre modèle de vente est exclusivement indirect. Tout ce que nous fournissons en termes de technologie est intégré, distribué, déployé et opéré par nos partenaires. Nous avons 1 200 partenaires français, dont certaines grandes entreprises comme Atos, Thales, Orange ou SFR, ainsi que tout un réseau de distributeurs à valeur ajoutée. Notre business model s’appuie donc sur les acteurs de confiance de l’écosystème français.

Nous contribuons à la formation aux métiers du digital dans l’écosystème, en formant 30 000 personnes par an – demandeurs d’emploi, formations certifiantes, cursus de formation intégrés (dans les IUT notamment) dans l’Éducation nationale.

La souveraineté numérique est un mouvement que nous observons en France, et auquel nous sommes très sensibles. Il se manifeste également au niveau global et dans de très nombreux pays. Nous y sommes très attentifs. Encore une fois, notre métier n’est pas de conserver ou de commercer des données, mais nous nous intéressons aux problématiques de souveraineté.

L’autonomie est un premier aspect, mais le contrôle des données est également très important. Parmi toutes ces plateformes de type cloud, nous proposons la solution Webex. La souveraineté renvoie à la notion de frontières, alors que le cloud et Internet de manière générale ont été conçus en s’affranchissant de ces règles. Nous devons néanmoins absolument disposer de la capacité de réglementer, de nous adapter à ces problématiques, pour conserver le contrôle des données au niveau d’un pays, mais aussi d’une entreprise.

Il convient de distinguer souveraineté numérique et protectionnisme. Nous pensons qu’il est important d’utiliser la technologie telle qu’elle est mise en place par les acteurs du marché, dont Cisco, tout en créant des garde-fous réglementaires et les processus nécessaires. Une fermeture ou un cloisonnement ne peut pas répondre à l’ensemble des questions. Bénéficions de la technologie, travaillons avec des acteurs tels que l’ANSSI en France, qui est très en avance en termes de recommandations et de réglementation. C’est un travail qui doit se faire avec les industriels. Mettons les bons outils en place pour faire en sorte que tout cela se passe sous un contrôle, ou du moins une protection des États.

Reste une dimension importante, celle de l’industrialisation. Selon les pays, les demandes que recouvre la notion de souveraineté numérique sont bien souvent différentes. On parle de localisation des données dans un cas, de centre de données localisées dans un autre, de cybersécurité ailleurs, ou encore de possibilités de contrôler et de débrancher des applications. L’aspect industriel est extrêmement important pour des acteurs comme Cisco ou d’autres. Élaborer une solution pour chaque pays est très compliqué si l’on veut concilier l’innovation, l’aspect industriel, la capacité à proposer des applications et des services bénéficiant de cette innovation, tout en répondant aux réglementations.

M. Bruno Bernard, directeur des affaires publiques de la société Cisco Systems France. En matière de souveraineté, la question du droit applicable aux données est également essentielle. Si nous voyons des demandes de localisation émaner de beaucoup de pays, nous pensons que la vraie question de la souveraineté se joue sur le droit applicable. Tout l’enjeu est de trouver un modèle permettant aux États de garantir une sécurité des données de leurs citoyens et de leurs entreprises, tout en permettant à ces derniers de continuer à bénéficier des meilleures solutions technologiques disponibles. L’entente est donc nécessaire entre les États. Nous y incitons, que ce soit aux États-Unis ou ailleurs dans le monde, pour que des formes juridiques soient trouvées pour garantir ces transferts de données.

M. Philippe Latombe, rapporteur. Vous parlez de la manière de trouver une réglementation applicable. Comment faire dans le contexte actuel où il existe une extraterritorialité forte des règles américaines ? Comment assurer aux Européens que les données hébergées dans le cloud ou utilisées dans des algorithmes sont bien localisées et opérées sur le territoire européen, sans possibilité de prise de la part de la réglementation américaine ? Les clauses contractuelles-types telles que la localisation des données dans des serveurs européens et le chiffrement sont-elles suffisantes ? Que ferait par exemple Cisco si une agence américaine lui demandait de fournir des informations ?

M. Laurent Degré. Vous faites référence au Cloud Act.

M Philippe Latombe, rapporteur. Ce n’est pas la seule loi dans ce domaine, même si elle est celle qui a fait le plus de bruit avec Schrems II. Il existe des règles extraterritoriales américaines assez fortes en dehors du Cloud Act.

M. Laurent Degré. Nous sommes une société américaine, sujette à ces lois.

M. Philippe Latombe, rapporteur. C’est bien pour cette raison que je vous pose cette question.

M. Laurent Degré. Même si nous sommes une filiale française du Groupe, nous sommes soumis à ces contraintes. Un processus existe en la matière, que j’invite M. Bruno Bernard à rappeler.

M. Bruno Bernard. L’extraterritorialité est malheureusement un concept à la mode en ce moment. Beaucoup de règlements sont extraterritoriaux en matière numérique : le RGPD est, par exemple, extraterritorial de fait. C’est toute la problématique de l’application du droit dans des sphères qui ne sont pas traditionnelles. Les sollicitations que nous sommes susceptibles de recevoir d’agences gouvernementales ne se limitent pas aux États-Unis.

Pour ce qui concerne le Cloud Act précisément, nous rappelons que son application suppose la demande d’un juge, sollicité par une agence gouvernementale.

Notre processus est standard, mais relativement fort. La question se pose de savoir où se trouve la donnée. La plupart du temps, elle est chez le client. Nous demandons donc que l’agence ou le juge s’adresse directement à notre client. Si la demande est adressée directement à Cisco, nous en notifions le client, pour éviter toute rupture de confiance. Il est possible qu’une décision judiciaire nous l’interdise, auquel cas nous la contestons devant la juridiction compétente.

Ensuite, nous communiquons des données aux autorités qui ont réellement compétence. Dans le cas du Cloud Act, par exemple, nous ne communiquons pas de données en l’absence de la décision d’un juge. Nous cherchons également toujours à réduire la portée de la requête au strict minimum correspondant à la demande.

Dans la configuration où la demande légale d’un gouvernement nous mettrait dans une situation de conflit de lois entre deux législations ayant autorité sur les données (par exemple, entre un pays européen et les États-Unis), nous irions devant un juge pour réfuter cette demande, en invoquant les traités d’assistance judiciaire mutuelle existants.

Je tiens également à signaler que nous publions un rapport de transparence (transparency report), dans lequel nous listons les demandes de transmissions de données par pays. Elles sont très peu nombreuses, notamment depuis l’entrée en vigueur du Cloud Act.

M. Philippe Latombe, rapporteur. Comment percevez-vous le marché européen du numérique ? S’agit-il d’un marché mature, ou encore adolescent ? Je voudrais que l’on sépare pour traiter cette question la partie relative au numérique de manière générale et celle de la cybersécurité en particulier, car il existe peut-être deux types de maturité différents.

M. Laurent Degré. Il existe plusieurs aspects dans cette question : la maturité digitale de manière globale, celle des éditeurs et la question de notre force de frappe en Europe.

Nous avons la chance en France de disposer de beaucoup de champions dans le domaine numérique – Atos, Thales –, de champions en matière de cybersécurité, qui nous sont enviés, d’une agence de régulation, d’excellents cursus de formation. Je n’ai donc pas le sentiment que nous ayons des lacunes en matière de cybersécurité. Nous sommes peut-être derrière les États-Unis concernant les éditeurs capables de fournir du software et des solutions dans leur globalité pour servir l’Europe. Du point de vue de l’intégration, des compétences et de l’écosystème, nous avons en revanche quelque chose de très fort en France.

Cybermalveillance est par exemple une excellente initiative, dont nous faisons d’ailleurs partie. De même, nous officialiserons notre contribution au Cyber Campus. Il s’agit de la meilleure des réponses. Nous ne sommes pas du tout en retard, et disposons du bon écosystème et des bons acteurs pour pouvoir avancer sur la cybersécurité.

Il existe de nombreux classements relatifs à la maturité digitale des entreprises de manière générale, que nous serions heureux de partager avec vous. Pour faire simple, nous pouvons formuler deux constats pour la France :

– nos grands groupes sont bien équipés : nous avons vu, dans la crise du Covid, qu’ils étaient capables de réagir ;

– en revanche, il existe certainement un déficit, par rapport à d’autres pays, parmi les PME et ETI, en termes d’acculturation, de formation et de perception du numérique en général et de ce qu’il représente en matière de valorisation de l’entreprise, de relation client, d’amélioration des modes de fonctionnement et de performance industrielle ou économique. En matière de cybersécurité en particulier, nous avons un travail d’éducation à mener. Je considère que la cybersécurité doit être un investissement, plutôt qu’un coût de fonctionnement. Protéger vos données et vos salariés revient à valoriser votre entreprise. Une accélération de l’acculturation, de la prise de conscience et de la gouvernance est nécessaire sur le sujet.

M. Philippe Latombe, rapporteur. Est-ce lié au mouvement d’externalisation de l’informatique dans les entreprises ?

M. Laurent Degré. Les sujets sont selon moi décorrélés. Le numérique est de toute façon omniprésent, comme nous l’avons vu dans la crise sanitaire. Le Covid est ni plus ni moins qu’un accélérateur de la transformation. Le digital est partout, dans l’Internet des objets, la relation client, le management, l’interaction avec les fournisseurs. Qu’il soit dans le nuage ou non, beaucoup d’activités se numérisent de toute façon, ce qui conduit à une augmentation de la surface d’attaque. La prise de conscience est donc nécessaire, indépendamment de la question de l’externalisation.

M. Philippe Latombe, rapporteur. Les plans européen et français de relance sont-ils une bonne manière d’aborder le sujet ? Le financement n’est-il à l’inverse que la partie émergée de l’iceberg, et y a-t-il d’autres champs (comme l’éducation) à investir d’abord ?

M. Laurent Degré. Ces programmes d’investissement sont bons. Le plan de relance européen et les investissements prévus en France constituent une démarche excellente. Son orchestration est une question d’écosystème.

L’Éducation nationale doit faire partie intégrante du processus. La cybersécurité est un marché en constante évolution. On parle d’un poids de la cybercriminalité de plus de 4 000 milliards d’euros dans le monde, ce qui donne une idée de sa puissance, si l’on rapporte ce chiffre au PIB. Il s’agit d’un processus continu, qui évolue. L’éducation, quelles que soient les filières, doit être au cœur des investissements. À côté des aspects technologiques et de formation pour les industriels, l’éducation doit être un pilier de la démarche. Nos étudiants, nos élèves, ne sont pas toujours conscients de ce qu’ils font, ce qui peut se traduire par la suite dans l’entreprise. L’éducation est donc selon moi un point critique. Nous essayons autant que possible de contribuer, au travers de beaucoup d’initiatives, à ces aspects d’acculturation et de formation, mais ce n’est pas suffisant : il faut faire encore beaucoup plus.

M. Bruno Bernard. La clef est de faire pénétrer les réflexes numériques dans la vie de tous les jours. Lorsque vous prenez un crédit bancaire, que vous vous assurez, que vous vous engagez dans votre vie de tous les jours, on pourrait imaginer un volet numérique, et un volet relatif à la cybersécurité, puisque ces questions peuvent avoir des impacts tout à fait concrets pour les entreprises, mais aussi pour les particuliers.

Les plans de relance et d’investissement sont la bonne manière de faire, mais le moment est venu de pleinement infuser ces problématiques dans le quotidien des entreprises et des citoyens.

M. Philippe Latombe, rapporteur. Comment inscrire le numérique et la cybersécurité dans les formations ? Faut-il créer des filières spécifiques ? Doit-il s’agir uniquement de filières d’excellence, d’ingénieurs ? Certaines personnes auditionnées nous ont expliqué que nous manquions également de techniciens, de personnes capables de coder, de « mettre les mains dans le cambouis », et qu’il existait un besoin de formations de niveau BTS ou IUT sur ce type de sujets. Comment faire pour trouver des personnes ?

M. Laurent Degré. La formation de spécialistes existe d’ores et déjà. Nous n’avons pas de problème de formation d’experts, mais l’acculturation et l’infusion de principes fondamentaux des bonnes pratiques du digital dans l’ensemble des filières sont essentielles. Il me semble que cette approche doit être aussi évaluée.

M. Bruno Bernard. Cisco faisait, à l’époque où les interventions physiques étaient possibles, de l’acculturation pour des collégiennes dans le département des Hauts-de-Seine, en leur montrant comment fonctionnait un réseau et quel était le parcours de la donnée. Nous pensons que c’est à cette période de la vie, qu’il faudrait former les personnes à se servir d’un smartphone, à publier sur les réseaux sociaux, à savoir quels types de données partager. À notre avis, c’est à ce moment que l’on peut former des personnes qui soient totalement digital natives. Ils savent pour le moment se servir des applications, mais ignorent comment elles fonctionnent et quels sont les tenants et aboutissants de cette économie numérique. Nous recommandons donc des interventions au niveau du collège, qui ne soient pas du tout spécialisées, mais au contraire touchent l’ensemble de la population de cet âge.

M. Philippe Latombe, rapporteur. Selon vous, la crise sanitaire et le recours au numérique, tel que nous l’avons vécu de manière forcée, et tel qu’il s’est prolongé depuis un an, changent-ils la manière de fonctionner des entreprises en interne, par exemple pour les réunions, les pratiques de management ? La situation les a-t-elle renvoyés à un mode projet ? Cette question est valable pour les entreprises, mais également pour les administrations, si vous en avez une vision.

M. Laurent Degré. Indéniablement, cette crise sanitaire, qui a forcé beaucoup d’entreprises à accélérer leur digitalisation, a changé les comportements. Prenons l’exemple de ce que nous appelons le travail hybride : la relation au travail et au lieu physique a changé. Le digital, la connectivité, le cloud ont été un moyen de résilience économique pour les entreprises.

Nous avons vu plusieurs étapes. La première était celle de l’équipement, parfois sans garde-fous, sans acculturation, avec parfois des erreurs. Nous l’avons vu avec l’utilisation de certaines applications de collaboration, qui ont été bannies par certains États. Nous revenons aux thèmes de la formation, de l’acculturation, des bonnes pratiques, du choix des bons partenaires. Je pense que nous sommes maintenant dans une phase où le digital est plus important qu’auparavant, parce qu’il change la relation au travail, les modes de fonctionnement, mais qu’il y a encore beaucoup à faire sur les bonnes pratiques.

M. Bruno Bernard. Pour ce qui est des administrations, nous constatons un changement d’attitude, mais il demeure certains blocages, notamment vis-à-vis de l’utilisation d’outils de vidéoconférence. Nous avons essayé de porter ce message auprès du ministère de l’éducation nationale, pour venir en aide aux professeurs et aux élèves consignés chez eux. La volonté existe, mais cela reste compliqué, car non encore tout à fait naturel.

M. Philippe Latombe, rapporteur. Au-delà de la numérisation, les modes de fonctionnement des entreprises ont-ils durablement changé, en termes de gestion en mode projet, de rapidité, de capacité d’évolution, d’agilité ? Les entreprises et les administrations ont-elles compris que le temps n’était plus aussi long qu’auparavant, qu’il fallait se préparer à quasiment tout, que l’incertitude était chaque fois présente ?

M. Laurent Degré. Votre question n’est pas évidente, M. le rapporteur.

M. Philippe Latomb, rapporteur. Lorsqu’ils recourent à vos services, demandent-ils que leur système puisse évoluer presque instantanément, en fonction de ce qui arrive ? Veulent-ils se laisser en permanence des portes ouvertes dans les services qu’ils vous demandent ?

M. Laurent Degré. Le numérique, l’accès à ces applications, à ces outils, est critique pour la pérennité du fonctionnement des entreprises, leur vélocité. Il s’agit d’un sujet très important pour nous, sur lequel nous possédons beaucoup d’études que nous pourrons vous partager.

En matière de relation au travail, il y a la notion de temps long et de temps court, celle de résilience, apportée par le digital. Dans les entreprises comme les administrations, l’utilisation du digital et de ses outils change la relation au travail et au management. Lorsque vous travaillez à distance, comme nous sommes en train de le faire, les notions d’horaire, de lieu physique et de relation avec votre manager changent. On est obligé de faire travailler les personnes sur un mode de confiance, d’objectifs. Je pense que cela est en train de révolutionner les modes de fonctionnement dans certaines entreprises. La technologie est une chose, mais les modes de gouvernance et la manière dont elle est utilisée pour le bien de l’entreprise ou de l’administration en est une autre. La relation hiérarchique n’est plus la même qu’auparavant en raison de l’utilisation de ces outils. J’ignore si je réponds à l’ensemble de vos questions, mais c’est un point qui me vient à l’esprit et qui est extrêmement important.

M. Philippe Latombe, rapporteur. Vous êtes acteur de l’identité numérique. Comment voyez-vous ce sujet émerger ?

M. Bruno Bernard. Nous avions participé à la mission d’information de l’Assemblée nationale sur le sujet de l’identité numérique.

M. Philippe Latombe, rapporteur. Elle était menée par M. Jean-Michel Mis, qui participe également à la présente mission.

M. Bruno Bernard. Nous avions positionné ce que nous percevions comme le futur de l’identification numérique d’une personne. Cela correspond tout à fait à notre démarche de cybersécurité. Nous préconisons une augmentation du nombre de critères de vérification de l’identité de la personne, de son comportement en ligne et de son positionnement géographique, grâce à des outils liés aux smartphones notamment. Nous sommes très favorables à une sécurité fondée sur le principe zero trust : il ne suffit pas de s’identifier une fois, et la posture doit être cohérente pour que l’identité des personnes sur Internet soit garantie.

Nous considérons qu’il revient aujourd’hui aux États et aux organisations internationales de prendre la main sur la définition de l’identité numérique – comme l’a fait l’Union européenne, et comme, me semble-t-il, le gouvernement français s’est engagé à le faire prochainement.

M. Philippe Latombe, rapporteur. Comment percevez-vous le retard pris sur le sujet ? Le rapport date d’il y a quelque temps. Or, nous n’avons fondamentalement pas avancé, même si la carte nationale d’identité électronique, réceptacle de l’identité numérique, arrivera prochainement. Nous n’avons pas grand-chose sur l’identité numérique pour l’instant, à part France Connect, qui n’a pas évolué. Comment percevez-vous ce retard ?

M. Bruno Bernard. J’ai cru comprendre que France Connect faisait partie des sujets qui seraient accélérés dans les quatre cents derniers jours, ainsi que Mme la ministre, Amélie de Montchalin, l’a récemment indiqué.

Malheureusement, la France aime prendre son temps. Nous sommes donc fréquemment un petit peu en retard, car nous souhaitons voir comment les choses se passent, pour bien les mesurer. Notre retard n’est pas irrattrapable, mais comme souvent, en matière de numérique en particulier, il serait bon de ne pas laisser ce retard se creuser.

M. Philippe Latombe, rapporteur. Vous êtes une entreprise qui travaille dans de nombreux pays, vous avez une activité mondiale. Cette question de l’identité numérique est-elle abordée de la même façon partout en Europe ? Une comparaison avec l’Estonie n’est peut-être pas pertinente, car les niveaux de maturité sur l’identité numérique, les tailles de populations, les administrations, les histoires ne sont pas les mêmes. Mais parmi les pays qui nous ressemblent le plus, le retard pris par la France générera-t-il un retard supplémentaire ? Si nous sommes en train de rattraper le retard pris depuis quelques années, mais qu’eux ont avancé sur l’identité numérique, avons-nous besoin de faire un saut qualitatif dans ce que nous devons atteindre dans les quatre cents prochains jours ?

M. Bruno Bernard. Les quatre cents jours sont peut-être un peu ambitieux.

M. Philippe Latombe, rapporteur. Ce n’est pas mon calendrier.

M. Bruno Bernard. Il faut essayer de combler le retard d’il y a trois ans et atteindre un système à parité avec celui de nos voisins allemands et britanniques, toujours dans l’idée d’élaborer une identité numérique à l’échelle européenne, qui est le grand enjeu en la matière. Les processus de décision à cette échelle peuvent réserver des surprises et ne pas être optimaux, mais nous pouvons espérer que la présidence française de l’Union européenne qui s’annonce soit un accélérateur en Europe et en France sur nombre de ces sujets, dont l’identité numérique.

M. Philippe Latombe, rapporteur. Quand on parle d’identité numérique, on parle d’usages. Vous avez souligné tout à l’heure l’importance de l’éducation des collégiens, pour qu’ils ne soient pas uniquement des consommateurs, mais sachent comment le numérique fonctionne. Comment voyez-vous les usages du numérique dans les années à venir ? Quels sont les domaines dans lesquels la France et l’Europe doivent investir maintenant pour être à la pointe de ce qui se passera dans quelques années ?

En matière de cloud, par exemple, on nous a expliqué que nous ne serions jamais au niveau des géants actuels. Nous mettrons beaucoup de temps à les rejoindre, et cela nécessitera beaucoup d’efforts. On nous a dit à l’inverse que nous étions très en avance sur de nombreux sujets, dont l’Intelligence artificielle des objets, par exemple. Identifiez-vous des domaines sur lesquels les Européens devraient davantage capitaliser pour rester à la pointe ?

M. Laurent Degré. Dans le domaine de l’Intelligence artificielle et du quantique, nous avons des choses à faire et à dire. Le quantique révolutionnera les capacités de calcul et ouvrira des cas d’usage et des possibilités jamais connus. Il ne faut pas rater ce virage. Dans le domaine de l’Intelligence artificielle, nous avons de très bons acteurs.

En matière de cybersécurité, nous avons des champions français en Europe. Faisons encore plus d’investissements, aidons-les dans cet écosystème, dont nous faisons partie. Capitalisons sur ces atouts : nous ne sommes pas en retard dans le domaine de la cybersécurité, bien évidemment.

Il faut également travailler sur plusieurs technologies – la 6G, le edge computing, visant à ramener la capacité de calcul au plus près de l’utilisateur, l’Internet des objets.

M. Bruno Bernard. J’ajoute, si vous le permettez, la technologie open RAM, qui est la virtualisation des accès radio. Ce n’est pas une technologie tout à fait mature, mais Cisco est par exemple partenaire de Rakuten au Japon pour déployer un réseau téléphonique virtualisé. Il s’agit de l’une des grandes révolutions à venir dans le domaine des télécommunications. Les opérateurs européens, dont Orange, se sont engagés sur le sujet. Les opérateurs américains le sont déjà, et nous pensons que cela peut faire partie du futur des télécommunications en France. Cela impliquera une réflexion sur le cloud et la nécessité de réaliser des investissements lourds. Si votre réseau téléphonique fonctionne demain de façon complètement virtualisée, il faudra le localiser quelque part, ce qui pose la question du contrôle de la donnée, des infrastructures.

À mon sens, ce qui permettrait de grandir à l’échelle européenne et d’avoir enfin des acteurs mondiaux serait de disposer d’un véritable marché unifié, où l’on puisse à la fois lever des capitaux, mais aussi se développer en partenariat les uns avec les autres, en s’appuyant sur des acteurs de confiance, dont Cisco ou d’autres, pour grandir tous ensemble. L’environnement est aujourd’hui encore, un peu, voire très, morcelé, ce qui freine l’émergence de ces champions européens.

M. Philippe Latombe, rapporteur. Nous voyons que l’innovation des GAFAM est permise par des succès commerciaux forts qui leur permettent de dégager des moyens en R&D, qui est réalisée soit en interne, soit par des acquisitions. Comment fonctionne Cisco avec l’environnement des start-up ? Collaborez-vous avec elles ? En incubez-vous certaines, pour les absorber ensuite ? Les laissez-vous vivre, en les plaçant sous votre aile pour en faire des avantages commerciaux dans vos offres ? Comment fonctionnez-vous avec cet écosystème ?

M. Laurent Degré. Il n’existe pas de modèle unique, mais plusieurs options. En matière de R&D, Cisco ne se limite pas aux États-Unis, car l’intelligence n’est pas disponible en un seul endroit : elle est distribuée partout. Par ailleurs, l’expertise est difficile à trouver, car il s’agit d’un marché en constante innovation. Nous comptons plus d’une centaine d’ingénieurs en R&D en France. Cisco compte au total 26 000 ingénieurs dans le monde.

Notre équipe française de R&D travaille constamment dans des modes sinon d’incubation, du moins de codéveloppement avec des start-up, qui viennent nous présenter des idées et ont besoin de support, ou vers lesquelles nous nous tournons. Nos équipes ont pour mission de mener des activités de R&D au sens strict, mais également de réaliser une veille technologique du marché, d’accompagner l’écosystème. Parfois, au lieu de développer en interne, nous procédons à une acquisition – mais ce n’est pas systématique. Cybervision est par exemple issu de la start-up villeurbannaise Sentryo, avec laquelle nous travaillions en codéveloppement. Nous les avons accompagnés dans leur croissance. Il y avait à un moment donné un besoin de capital. Cisco a fait le choix d’en faire l’acquisition. Cybervision est devenu un acteur mondial de la cybersécurité dans le monde industriel, présent partout en Europe et dans le monde.

Nous ne poursuivons pas une stratégie unique : les décisions sont prises ad hoc en fonction de la course à l’innovation et des meilleures opportunités. Certaines choses peuvent être faites en interne, d’autres sont cherchées ailleurs. Il n’y a pas de schéma tout tracé.

M. Philippe Latombe, rapporteur. Nous avons ce matin auditionné le responsable de la cybersécurité d’Orange, qui nous expliquait que certaines entreprises françaises étaient achetées vingt-cinq fois la valeur de leur EBITDA, et qu’il était impossible de rivaliser avec les entreprises américaines sur ce plan. Partagez-vous le sentiment d’une survalorisation ? Pourquoi ces entreprises sont-elles valorisées à ce point ?

M. Laurent Degré. Si ces sociétés sont achetées à ces prix, cela signifie qu’il existe de la compétence et de l’expertise en France. II s’agit donc d’une bonne nouvelle. Par ailleurs, ce n’est pas de la survalorisation, mais une valorisation de la compétence qui a un prix sur ce marché. La question se pose ensuite de savoir si nous avons la capacité de le faire, au niveau français ou européen, mais c’est une autre discussion. Il n’y a pas de survalorisation de ces sociétés, mais une simple valorisation de leur compétence.

M. Philippe Latombe, rapporteur. Voyez-vous un sujet que nous n’aurions pas abordé et que vous voudriez évoquer ?

M. Laurent Degré. Non. J’espère que nous vous avons apporté quelques éléments de réflexion. Nous restons à votre entière disposition. Il y a bien d’autres choses à couvrir, mais je n’ai rien à ajouter pour ma part.

M. Bruno Bernard. Nous nous tenons à votre disposition pour tout suivi ou complément d’information dont vous auriez besoin. De manière générale, Cisco a toujours la capacité de fournir une certaine expertise sur ces sujets. Nous sommes ravis de la partager.

Audition commune, ouverte à la presse, de Mme Bénédicte Roullier, cheffe du pôle « Transformation numérique des TPE/PME », et de M. Aurélien Palix, sous-directeur des réseaux et des usages numériques à la direction générale des entreprises (ministère de l’économie, des finances et de la relance) (15 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. L’audition de Mme Bénédicte Roullier, cheffe du pôle « Transformation numérique des TPE/PME » à la direction générale des entreprises (DGE) du ministère de l’économie, des finances et de la relance et de M. Aurélien Palix, sous-directeur des réseaux et des usages numériques au sein de cette même direction, doit nous permettre de faire un point d’ensemble sur la digitalisation des TPE et PME dans notre pays, sur ses progrès et aussi sur les difficultés des entreprises. Nous souhaitons également évoquer l’initiative France Num, renforcée dans le plan de relance. Nous nous intéressons à l’ensemble de ces sujets sous l’angle de la souveraineté, en interrogeant la capacité des entreprises, y compris les plus petites, à trouver une offre française ou européenne satisfaisante pour leurs besoins et dimensionnée en fonction de leurs besoins.

M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois sujets. Le premier concerne votre approche de la notion de souveraineté numérique. Il s’agit d’une question rituelle lors de nos auditions qui provient de la grande diversité des définitions de cette notion. Comment définissez-vous cette notion et, surtout, comment est-elle prise en compte dans vos actions au service de la numérisation des entreprises ? Les échanges que nous avons conduits ont fait apparaître la force de frappe des grands acteurs du numérique, notamment étrangers, souvent mis en avant par des intégrateurs qui offrent des solutions clés en main aux petites entreprises. Nous aimerions avoir votre opinion et savoir quels sont les comportements d’achat des TPE et PME dans ce domaine.

Ma deuxième question porte sur votre action au sein de la DGE. Je voudrais que vous nous présentiez à grands traits France Num, les réflexions menées durant la crise sanitaire sur la numérisation des entreprises et, surtout, votre analyse de ses impacts sur le souhait des TPE et PME de passer au numérique. J’aimerais aussi savoir si les entreprises rencontrent pour se numériser des difficultés plus ou moins connues qu’il conviendrait de traiter prioritairement.

Mon dernier point concerne le risque cyber. Nous avons constaté durant l’année 2020 un essor des cyberattaques par rançongiciel contre les acteurs privés et publics. Les TPE et PME ont souvent des moyens réduits pour se protéger. Comment pouvons-nous les inciter à consentir cet investissement rentable à moyen terme et diffuser une culture de la cybersécurité au sein de ces petites structures ?

M. Aurélien Palix, sous-directeur des réseaux et usages numériques. Vous avez déjà auditionné notre directeur général, M. Thomas Courbe. Au sein de la direction générale des entreprises, nous partageons la vision d’une souveraineté numérique qui consiste, d’une part, à pouvoir définir des règles encadrant les usages du numérique et, d’autre part, à être autonome dans les technologies à la base de ces usages. L’action spécifique de ma sous-direction porte plutôt sur la seconde partie. Il s’agit de proposer des technologies souveraines, françaises, pour certains blocs qui nous paraissent stratégiques.

Nous travaillons à identifier ces blocs stratégiques avec l’ensemble de nos partenaires, en interministériel mais aussi avec des partenaires publics et privés, et nous nous assurons que la France dispose d’une autonomie pour des technologies clés telles que l’intelligence artificielle, le cloud, la blockchain, la cybersécurité. Dans le plan de relance, nous travaillons à la stratégie nationale de cybersécurité, afin que les entreprises françaises puissent avoir un large choix de solutions numériques et que ce choix inclue des solutions souveraines, qu’elles soient françaises ou européennes.

Lorsque je parle d’entreprises, je pense aux grands groupes, aux entreprises de taille intermédiaire (ETI) et aux PME qui ont déjà les épaules suffisamment larges pour s’engager dans le numérique. La mission de M. Nicolas Guérin et Mme Juliette de Maupeou à laquelle mes services contribuent et que vous aurez à auditionner porte sur ces questions.

Je pense aussi aux TPE pour lesquelles la problématique est complètement différente. Certaines sont très éloignées du numérique. Elles n’ont pas toujours conscience de l’intérêt qu’a pour elles le numérique ou le vivent comme une sorte d’injonction au numérique. Notre but n’est donc pas uniquement de leur proposer des solutions françaises mais aussi de les convaincre de l’intérêt de se numériser et de les accompagner au mieux lorsqu’elles entreprennent cette démarche de digitalisation.

Réussir à « embarquer » ces TPE est tout le but de France Num. Toutefois, nous avons vocation à accompagner les entreprises dans leurs démarches mais non à prescrire des solutions. Nous ne forçons pas les entreprises à se détourner d’offres de solution étrangères. Nous avons tous conscience que, actuellement, être référencé sur certaines plateformes ou moteurs de recherche internationaux est absolument indispensable. Notre but est plutôt d’« embarquer » les TPE dans le numérique, de les orienter vers les acteurs et les dispositifs les plus pertinents. France Relance a lancé plusieurs dispositifs, mais les entreprises restent libres de leurs choix entrepreneuriaux, de recourir à des solutions françaises ou étrangères. Nous voulons seulement qu’elles le fassent en connaissance de cause, qu’elles sachent que la gestion de leurs données sera différente selon la solution choisie.

Mme Bénédicte Roullier, cheffe du pôle « Transformation numérique des TPE/PME ». Je commencerai par quelques données sur la numérisation des entreprises françaises et notre positionnement comparé à nos voisins. Il existe de nombreuses études et il est important de savoir, d’un point de vue méthodologique, que le public concerné est complexe et hétérogène. Nous regardons toujours si les études résultent d’un recueil de données uniquement en ligne ou en ligne et hors ligne : il est impossible de connaître un public peu connecté en ne recueillant les données que par questionnaire en ligne.

Nous avons déterminé les actions de France Num à partir de notre connaissance de ce public, basée notamment sur une étude que nous avons réalisée au début de l’année 2020, juste avant la crise. Nous refaisons actuellement une étude pour voir quelle est l’évolution au moyen d’un baromètre dont nous connaîtrons les résultats en juin.

Ce baromètre nous donne des chiffres relatifs à la perception et des indicateurs sur les freins. Ainsi, sur un échantillon représentatif, 68 % des TPE et PME sont aujourd’hui convaincues des bénéfices concrets du numérique. Cela signifie donc que 32 % ne sont pas convaincues. Le taux de convaincus monte à 72 % sur le thème de communication avec les clients ce qui montre que le numérique appliqué à leurs problématiques leur parle, plutôt que le numérique en général. Début 2020, 36 % des entreprises avaient peur de perdre leurs données. Il faut donc trouver un équilibre entre freins et leviers pour les amener au numérique.

En ce qui concerne les équipements et les usages, les dirigeants de TPE et PME sont des personnes très connectées. 88 % possèdent un smartphone. Seuls 37 % ont un site Internet institutionnel ce qui semble être un chiffre très particulier à la France. Nous retrouvons cela dans l’indicateur européen Digital economy and society index (DESI) qui comporte une dimension concernant l’intégration des technologies par les entreprises : la France est en retard en visibilité Internet, globalement et plus particulièrement par rapport aux pays du Nord. Le chiffre est encore plus bas pour les sites de e-commerce, puisque seulement 9 % des entreprises avaient un site au début de l’année 2020.

En revanche, une spécificité de la France est que 40 % des entreprises ont un logiciel de gestion, ce qui nous met en tête du peloton européen. La France est donc assez faible en visibilité mais assez forte sur l’équipement en logiciel de gestion, ce qui est probablement lié à l’obligation – datant de 2018 ou 2019 – d’avoir un logiciel de caisse. Cette contrainte peut donc devenir un avantage pour les TPE et PME qui disposent ainsi de données de gestion.

Nous avons aussi quantifié les TPE et PME à accompagner. Notre cible maximale, avant la crise, était de 2,6 millions d’entreprises en nous centrant sur les structures productives. En entités juridiques, nous montons à 3,8 millions d’entreprises, mais il ne s’agit pas que d’entreprises ayant réellement une activité économique.

Nous avons aussi réalisé une segmentation des dirigeants de TPE et PME, puisque ce public est très hétérogène. Nous avons effectué cette segmentation suivant la dynamique de projet et la maturité numérique des entreprises. Nous ne nous sommes pas limités à leur maturité numérique car nous n’accompagnons pas de la même façon un dirigeant d’entreprise qui a des projets et un dirigeant qui n’en a pas, un dirigeant qui est sur le point de transmettre son entreprise ou un dirigeant qui vient de racheter une entreprise. Nous avons donc cinq segments : prudents, demandeurs, réceptifs, statiques, opportunistes. Nous concentrons les actions de France Num sur 1,7 million d’entreprises qui correspondent aux trois segments des prudents, demandeurs et réceptifs. Tout l’enjeu des dispositifs d’aide est de bien atteindre ces cibles prioritaires pour que les mêmes réceptifs voire opportunistes n’en soient pas toujours les bénéficiaires.

L’indicateur européen DESI paraîtra bientôt. Il est basé sur des enquêtes Eurostat et n’interroge annuellement que les PME, pas les TPE. Une grande enquête sur les TPE est réalisée tous les six ans : la prochaine occurrence aura lieu en 2022. Ce sont des enquêtes de l’institut national de la statistique et des études économiques (INSEE) dans le cadre d’Eurostat.

Les difficultés rencontrées par les acteurs sont d’abord le manque de conviction sur les apports du numérique. Nous considérons que France Num a pour mission d’améliorer le terrain afin que l’action de nos partenaires et des acteurs privés puisse se déployer plus facilement.

Le deuxième sujet qui revient partout est le manque de temps : le dirigeant de TPE est pris par le temps de tous les côtés, y compris à cause d’un numérique subi qui lui prend du temps. Il faut donc convertir le numérique à son avantage, faire en sorte qu’il ne constitue pas seulement une charge avec des démarches administratives, des factures, des paperasses.

Nous constatons également une difficulté à percevoir le retour sur investissement, à voir ce que le numérique apportera concrètement. Les dirigeants ont du mal à choisir, à décider comment faire, par quoi commencer. Nous travaillons aussi spécifiquement à la complexité des aides, des dispositifs, de l’offre, des acteurs.

La crise sanitaire a eu un impact positif de prise de conscience et constitue globalement une opportunité pour les filières numériques française, européenne et internationale, y compris pour les géants du Web (GAFAM). Nous entendons énormément parler de ce sujet aujourd’hui, ce qui peut aboutir aussi à une saturation et à la création d’arnaques. Il faut faire attention, lorsque nous communiquons beaucoup sur un sujet, au risque d’apparition de pièges et nous surveillons ces problèmes. L’enjeu est donc de convertir l’urgence en progrès à long terme.

Une progression évidente est visible dans les baromètres réguliers de la fédération du e-commerce et de la vente à distance (Fevad) pour les volumes de vente en ligne. La proportion de TPE et PME passées au numérique est toutefois assez différente et nous attendons sur ce point les retours de notre baromètre. Nous avons des indicateurs de l’association française pour le nommage Internet en coopération (Afnic) qui montrent une nette progression des demandes de nom de domaine en « .fr », donc certainement une augmentation de la présence sur Internet des TPE et PME.

Dans la crise sanitaire, nous avons aussi observé des actions de débrouillardise très utiles. Elles concernent des TPE et PME qui utilisent le click and collect ou différentes solutions permettant à leurs clients de commander à distance et de venir chercher leurs produits. Nous voyons là l’enjeu crucial d’avoir un fichier clients. À France Num, notre travail consiste aussi à identifier de tels leviers spécifiques pour faire basculer les TPE et PME.

Nous avons conduit une action « Clique mon commerce » lors du deuxième confinement pour sélectionner une petite centaine d’offres permettant de faire du click and collect, de la livraison, de la gestion et de la logistique. Un appel à projets effectué en urgence nous a permis de proposer ce site pour faciliter le choix aux commerçants, artisans et restaurateurs.

Lors du premier confinement, nous avions conçu un guide pour les commerçants et artisans sur les sujets de livraison et de click and collect. Nous avions aussi démarré une chronique radio dans laquelle nous communiquions par des témoignages sur la webradio Frenchweb. En effet, communiquer par des témoignages est très efficace auprès des TPE et PME, en leur montrant ce que passer au numérique a apporté à un de leurs pairs.

France Num a trois grandes missions dont la première est de piloter cette politique publique, d’animer et d’outiller les acteurs. Ce n’est pas un moindre sujet que d’avoir chacun la même vision de la transformation numérique et de savoir où nous en sommes. Nous ne sommes ni les derniers ni les premiers. Nous suivons un chemin et il est important de partager cette même vision de la transformation numérique, les mêmes priorités et d’adapter les dispositifs en fonction de nos objectifs.

L’écosystème de France Num est constitué de soixante partenaires et de 3 000 activateurs : conseillers publics des réseaux consulaires, consultants privés, offreurs de solutions, banques… Dans le pilotage de la politique publique, nous gérons la marque France Num qui est une marque collective. Nous n’agissons pas par des actions propres à France Num mais nous coordonnons des actions de l’écosystème.

Nous avons un site Internet qui présente les actions des partenaires, sur lequel le public peut demander des recommandations ou avoir accès aux aides. Une plateforme collaborative avec nos soixante partenaires nous permet d’accélérer la diffusion de l’information, avec une offre de référencement des activateurs et une offre d’animation. Nous avons également des projets pour renforcer ce réseau de terrain constitué des activateurs.

Une autre de nos missions est de démontrer les bénéfices concrets du numérique. À ce titre, une émission télévisée Connecte ta boîte se déroule actuellement en trois épisodes. Il s’agit de démontrer concrètement l’intérêt du numérique pour des métiers très traditionnels puisque nos exemples concernent un ferronnier d’art, un couple de boulangers-pâtissiers et une guide de moyenne montagne. Nous valorisons les métiers et nous montrons les apports du numérique.

Notre rôle consiste aussi à soutenir des actions, voire en conduire en propre puisque le plan de relance donne à France Num un financement qui le lui permet. Nous finançons ainsi des diagnostics proposés gratuitement par les réseaux consulaires aux entreprises. Nous avons mis en place le chèque numérique de 500 euros. Nous faisons des appels à projets pour sélectionner des opérateurs proposant des accompagnements-actions afin de répondre au besoin induit par le fait que l’offre est riche mais qu’il faut accompagner le passage à l’action.

Un prêt France Num est en cours de mise en place. Il est destiné à sécuriser les banques pour prêter à de petites entreprises pour des petits projets de transformation numérique d’un volume maximal de 50 000 euros.

La particularité de France Num, en tant qu’initiative publique, est que notre réseau inclut des acteurs privés, donc des offreurs de solutions. France Num est géré en partenariat avec les régions. Nous présentons notre réseau de façon territoriale car la relation de confiance de la TPE s’établit avec un contact de proximité. Nous travaillons sur l’animation du réseau avec les régions et avec les filières numériques régionales. Nous avons un enjeu de qualité de la description sur la base de données des activateurs pour permettre à une TPE de choisir en connaissance de cause, les critères pouvant aller du respect du Règlement général sur la protection des données (RGPD) au fait que la société est française ou non, mais nous ne référençons pas uniquement des sociétés françaises ou européennes.

France Num ne s’associe, en tant qu’initiative de l’État, qu’à des partenaires institutionnels même si nous avons beaucoup de demandes de partenariat de grandes sociétés privées.

M. Philippe Latombe, rapporteur. Vous avez dit que de nombreuses PME et TPE disposent d’un logiciel de gestion du fait d’une obligation réglementaire mais qu’elles n’ont que rarement un site Internet ou un site marchand. Comment expliquez-vous ce décalage ? Le numérique n’est-il pas un levier commercial pour les TPE et PME ? Est-ce la raison pour laquelle vous faites cette émission télévisée de témoignages de professionnels ?

Mme Bénédicte Roullier. Nous constatons aussi un retard de la France en ce qui concerne la consultation individuelle des réseaux sociaux. Il semblerait donc qu’il existe un comportement français particulier sur les réseaux sociaux, la France se trouvant en retrait. Je n'en connais pas la raison. L’indicateur européen contient une partie sur les usages de l’Internet et la France se trouve plutôt en tête pour l’utilisation des outils bancaires, mais les Français utilisent en revanche moins que les autres pays les réseaux sociaux pour s’informer.

Nous essaierons de mieux comprendre la vente en ligne dans l’enquête que nous réalisons actuellement. Nous observons, comme dans d’autres pays européens, une stagnation pour les PME et nous étudierons plus finement la vente en ligne qui utilise aujourd’hui de multiples canaux.

En ce qui concerne la visibilité et la présence sur Internet, je pense que vous avez raison et c’est effectivement la raison pour laquelle nous lançons l’émission Connecte ta boîte avec de nombreux témoignages. Il se pose un problème de perception, de crainte, de manque de confiance. Je pense aussi que, tout simplement, certaines entreprises sont présentes sans le savoir sur Internet, par exemple sur Google, et sont même parfois très bien notées. J’ai ainsi recherché des entreprises de la petite ville de Figeac. J’ai trouvé un boucher et un plombier très bien notés que j’ai appelés pour leur demander s’ils avaient des besoins de numérique, s’ils étaient sur Internet. Ces entreprises savaient à peine qu’elles étaient présentes sur Internet. Je pense que nous avons donc un problème de représentation concrète. Il faut que l’entreprise se mette à la place de son client qui la trouvera sur Internet. Entrer dans cette perception est la première étape pour 32 % des TPE et PME.

M. Aurélien Palix. L’émission Connecte ta boîte fait un focus sur la relation client et la vente en ligne, mais a aussi pour objectif de promouvoir l’utilisation d’outils de gestion.

M. Philippe Latombe, rapporteur. Quand vous demandez aux TPE et PME si elles sont présentes sur un site marchand et qu’elles répondent non, quels sont les freins qu’elles signalent ? Pourquoi est-ce facile de les convaincre d’aller sur un site ou quels sont les freins qu’il faut lever ?

Mme Bénédicte Roullier. Dans l’enquête du Boston Consulting Group (BCG) et de Ernst Young et associés (EY), nos prestataires ont réalisé avec des dirigeants éloignés du numérique trente entretiens de deux heures et demie. Nous avons assisté à certains d’entre eux.

Certains de ces dirigeants ne font même pas partie de la cible de France Num parce qu’ils sont statiques ou prudents selon notre segmentation. Ce sont des dirigeants d’un certain âge, qui ont l’impression d’avoir beaucoup donné, qui ont une certaine vision de la qualité de leur travail et se sentent un peu malmenés par le numérique. Ils disent que ce n’est pas eux qui feront cette transition, ce qui nous conduit à réfléchir à plusieurs leviers.

Nous discutons en particulier avec le conseil supérieur de l’ordre des experts-comptables du fait que la numérisation permet de valoriser une entreprise pour la transmettre. Nous aurons besoin d’arguments plus précis pour faire levier. Par exemple, combien vaut l’entreprise selon qu’elle dispose ou non d’un fichier numérisé de ses clients ? Combien vaut l’entreprise selon qu’elle a ou non un site Internet ? Ceci nous donnera des leviers lorsque le discours général sur le numérique ne fonctionne pas.

Dans le cas d’un hôtel, vous ne le ferez pas « bouger » en lui disant qu’il faut être sur Internet de façon générale. Ce qui l’intéresse est de savoir combien cela lui rapportera d’être sur Internet. Ce qui le convaincra est le fait qu’un pair est sur Internet, que cela lui apporte tant de clients en plus et que la commission s’élève à tant, donc que cela bénéficie à son modèle économique. Nos leviers doivent être appliqués à un métier. Il faut pouvoir comparer avec les pairs.

Par ailleurs, l’énorme problème du temps revient constamment. Le dirigeant d’entreprise n’a pas le temps et c’est un énorme frein pour le passage au numérique.

M. Aurélien Palix. Un frein évident au référencement en ligne est le coût, pas forcément le coût financier, mais le coût en termes de temps. Créer une boutique en ligne signifie référencer les produits, ce qui nécessite un investissement en temps. Certains patrons de TPE et PME n’en disposent pas.

Le confinement a changé la donne et nous espérons le voir dans le baromètre France Num dont nous aurons bientôt les résultats. La vente en ligne a été un moyen de survie pour beaucoup de commerces.

M. Philippe Latombe, rapporteur. Il existe deux coûts : le coût en temps et le coût commercial de l’accès aux plateformes. Est-ce un frein mis en avant par les TPE et PME ? Nous avons beaucoup parlé de la taxe imposée aux plateformes, qui a été répercutée aux vendeurs. Cela a-t-il marqué ? Est-ce un frein ?

M. Aurélien Palix. Je ne sais pas si ce frein a été visible dans l’étude BCG, mais ce n’est pas particulièrement un frein ces derniers mois, étant donné que nous avons mis en place suite au deuxième confinement le programme « Clique mon commerce » qui recense justement les offres gratuites ou à tarif réduit. Nous avons constaté une importante mobilisation de l’ensemble des offreurs de solutions, y compris les places de marché qui ont proposé des taux réduits pendant le confinement. Ces offres perdurent encore aujourd’hui. Si ce frein a existé avant la crise, je pense qu’il est moindre depuis le confinement.

Mme Bénédicte Roullier. Les cas de figure sont différents pour de petites entreprises dans le secteur industriel pour lesquelles les investissements peuvent être importants. Nous ne parlons pas seulement de gens qui vendent en ligne : il peut s’agir de contrats, de réservations et pas uniquement de commerce.

Toutefois, pour notre cœur de cible, je ne considère effectivement pas que l’argent soit un frein d’autant plus que beaucoup de modèles économiques prennent la forme d’abonnement et que le chèque de 500 euros permet de couvrir environ six mois d’abonnement. Pour un site institutionnel, il existe des abonnements à 50 ou 100 euros par mois ce qui ne constitue a priori pas un frein pour démarrer.

De plus, une bonne politique de numérisation est « j’investis et cela me rapporte » donc je ne considère pas que l’argent soit un frein.

M. Philippe Latombe, rapporteur. Vous avez aussi parlé du temps. Les TPE et PME ont-elles le réflexe de confier la création et la maintenance de leur site à des sous-traitants ?

Mme Bénédicte Roullier. Je n’ai pas de chiffre précis et c’est lié à la question de la compétence numérique. Nous considérons que la compétence numérique peut, dans une petite entreprise, être interne ou externe. Il ne faut surtout pas considérer qu’elle doit être interne. Je pense que les deux cas de figure existent sans que nous ayons de statistique sur l’ensemble de la cible.

M. Philippe Latombe, rapporteur. Même si le chef d’entreprise a une compétence et qu’il est convaincu de la nécessité d’avoir un site marchand pour montrer ce qu’il propose, a-t-il le réflexe de penser que son temps est plus précieux consacré à d’autres activités et de faire appel à quelqu’un d’extérieur pour le faire ? Veut-il au contraire absolument maîtriser l’intégralité de la démarche ?

M. Aurélien Palix. Nous n’avons malheureusement pas suffisamment de données car les enquêtes que nous avons menées ne sont pas entrées dans ce degré de détail. Toutefois, l’initiative France Num consiste justement à référencer des activateurs qui peuvent être des offreurs de solutions ou des consultants numériques. Ceux-ci peuvent accompagner les entreprises dans cette démarche et pourraient faire le travail « à la place » du chef d’entreprise, en bonne intelligence évidemment, car il ne s’agit pas de livrer une solution sans consulter le chef d’entreprise. Si le chef d’entreprise souhaite avoir le conseil ou l’appui d’un professionnel, il peut se tourner vers un activateur France Num référencé avec une certaine garantie de qualité.

Mme Bénédicte Roullier. Certaines des offres à destination des TPE incluent une assistance à la mise en ligne du contenu. Certaines de ces offres sont françaises et il est essentiel pour la souveraineté de stimuler par cet accompagnement la qualité de l’offre française, donc la qualité de la relation client des offreurs de solutions. L’offre ne doit pas se réduire à un outil vide. Ces accompagnements sont, dans certains cas, inclus dans les abonnements.

M. Aurélien Palix. Nous en avons discuté avec certaines plateformes. Le volet accompagnement est un de leurs arguments de vente auprès des TPE.

M. Philippe Latombe, rapporteur. Qu’en est-il par rapport aux pays voisins ? Les autres pays qui sont à peu près au même niveau que nous ont-ils une démarche identique ou différente ?

Mme Bénédicte Roullier. Les politiques d’accompagnement des TPE et PME existent depuis longtemps, dans d’autres pays comme en France. Les sujets souvent traités portent sur la gestion des aides aux entreprises. Les positionnements vis-à-vis des questions de souveraineté sont différents suivant les pays. Que ce soit sur Internet en général, les démarches en ligne ou la transformation numérique des TPE et PME, les pays du Nord sont plutôt en avance, la France est au milieu et les pays du Sud ont tendance à être derrière, mais cela dépend des pays. Cela varie aussi avec l’organisation administrative, selon que les pays sont plus ou moins centralisés ou régionalisés, mais je ne peux pas être plus précise.

M. Philippe Latombe, rapporteur. Vous êtes-vous inspirés de pratiques d’autres pays ? Échangez-vous avec des homologues ou des collègues étrangers ?

Mme Bénédicte Roullier. Oui, les actions de France Num ont été définies au sein du conseil national du numérique et nous travaillons encore avec ce conseil en faisant des comparaisons internationales. Les actions de France Num n’ont pas été définies par la DGE sans lien avec le contexte. En outre, nous avons de nombreux d’échanges sur le plan européen. Il faut malgré tout penser que les TPE ne constituent pas un public unique pour lequel un levier unique fonctionnera. C’est pourquoi nous avons réalisé une segmentation.

Nous discutons aussi de la façon d’atteindre les TPE et de les faire passer au numérique avec des prestataires privés qui nous contactent parce qu’ils sont sur le marché de l’équipement numérique des TPE, au niveau européen, voire mondial. J’avais partagé avec l’une de ces sociétés le chiffre de 68 % de TPE et PME convaincues des bénéfices concrets du numérique pour leur activité. J’ai obtenu comme réponse que ce chiffre était relativement élevé.

M. Philippe Latombe, rapporteur. Lorsque vous parvenez à convaincre une entreprise, vous interroge-t-elle sur la cybersécurité ? Prenez-vous l’initiative de lui en parler ? Est-ce un sujet qu’elle découvre a posteriori ? Est-ce une source de craintes ? Nous savons que les TPE et PME sont assez facilement attaquables par des rançongiciels. Elles sont dans une situation de vulnérabilité.

Mme Bénédicte Roullier. Nous avons posé cette question dans l’étude effectuée début 2020 et nous aurons bientôt une actualisation. 36 % des entreprises ont peur de perdre leurs données. Cela fait donc effectivement partie des craintes. Le basculement vers le numérique se joue sur la confiance et le choix.

M. Philippe Latombe, rapporteur. Ne les accompagnez-vous pas a priori dans ce domaine ? Lorsque vous leur parlez du numérique comme axe de développement commercial ou de gestion, leur parlez-vous aussi de cybersécurité ?

Mme Bénédicte Roullier. La priorité de France Num est effectivement de les convaincre des enjeux, même si la cybersécurité est un sujet pour nous.

M. Aurélien Palix. Si nous les encourageons tout en leur faisant miroiter en même temps tous les risques, nous risquons de ne pas « embarquer » les TPE et PME. Nous suivons de très près le sujet de la cybersécurité et, dans le plan de relance, une stratégie sur la cybersécurité a été lancée dans le quatrième plan d’investissements d’avenir (PIA 4). Cela a été annoncé par le président de la République en février dernier.

Cette stratégie comporte un volet sur la diffusion de la cybersécurité, en particulier dans les collectivités locales. L’agence nationale de la sécurité des systèmes d'information (ANSSI) a été dotée, dans le plan de relance, de 136 millions d’euros pour sécuriser les collectivités locales.

Aucun budget propre n’est encore identifié pour sécuriser les TPE et PME mais, en revanche, des actions sont en cours. Typiquement, nous avons élaboré avec l’ANSSI, les chambres de commerce et d’industrie (CCI), les chambres de métiers et de l’artisanat (CMA) et le groupement d’intérêt public contre la cyber malveillance (GIP ACYMA) un guide très simple à destination des TPE et des PME qui leur donne en quelque sorte le premiers gestes d’hygiène en matière de cybersécurité. La cybersécurité consiste parfois en des habitudes très simples telles que changer son mot de passe régulièrement, faire attention de ne pas utiliser une clé USB provenant de l’extérieur sans précaution… Ce guide d’hygiène va de points très simples à des aspects plus compliqués.

Nous discutons actuellement avec les CCI, les CMA et Bpifrance qui mène des actions sur la cybersécurité, notamment des diagnostics. Nous regardons qui fait quoi pour savoir comment passer à l’échelle et essayer de sensibiliser de manière large l’ensemble des TPE et PME.

En revanche, ce n’est pas un argument que nous mettons particulièrement en valeur lorsque nous essayons de convaincre une TPE ou PME. Bien évidemment, lorsqu’elle a entrepris sa démarche, il est important de lui faire prendre conscience des risques mais, pour lui faire faire ses premiers pas numériques, parfois sans même qu’elle le sache puisque certaines sont référencées sur Google sans le savoir, nous essayons de mettre en exergue les avantages de la numérisation en termes de retour sur investissement plutôt que les risques.

M. Philippe Latombe, rapporteur. Je comprends votre réponse mais les experts de la cybersécurité nous disent qu’il faudrait commencer à penser cyber dès le départ, dès la numérisation pour avoir un process complet. Je me demandais donc si les chefs d’entreprise se posent cette question dès qu’ils commencent à se numériser ou si cela vient plus tard et comment, dans ce cas, leur donner ces gestes d’hygiène élémentaire sur les changements de mot de passe, les clés USB…

M. Aurélien Palix. Plus la question est posée en amont, mieux nous sommes préparés. En plus de ce guide, nous réfléchissons à lancer des diagnostics, même si nous ne pourrons évidemment pas diagnostiquer toutes les TPE et PME de France et de Navarre.

Un autre sujet qui nous paraît important est de proposer des solutions clés en main sur la cybersécurité. Plutôt que France Num, cela concerne ma sous-direction qui travaille sur les technologies. Il faut que l’entrepreneur se demande comment assurer sa transition numérique de manière sécurisée et, idéalement, il faut qu’il bénéficie d’une offre globale sur la cybersécurité ce qui n’est pas évident aujourd’hui parmi les offres existantes.

M. Philippe Latombe, rapporteur. Ne travaillez-vous pas en commun avec Cybermalveillance sur ce sujet ?

Mme Bénédicte Roullier. Cybermalveillance est partenaire de France Num et nous travaillons effectivement avec eux.

M. Aurélien Palix. Il existe une double relation puisque le GIP Cybermalveillance est partenaire de France Num et que la DGE siège au conseil d’administration du GIP. Le guide a été élaboré en partenariat avec eux.

Mme Bénédicte Roullier. Nous pensons également organiser une action intermédiaire consistant à former les activateurs France Num. Ce sont eux les contacts de terrain avec les TPE. Les former est un enjeu important.

M. Philippe Latombe, rapporteur. Comment voyez-vous aujourd’hui l’évolution de la numérisation des TPE et PME ? Est-ce de plus en plus facile ? Se produira-t-il un effet « boule de neige » et d’entraînement, parce que chaque entreprise a un pair qui a déjà fait le « grand saut » ? Verrons-nous une accélération de la numérisation ou cela interviendra-t-il de façon assez linéaire ? Je ne vous demande pas de prévoir l’avenir mais avez-vous des objectifs ? Comment les suivez-vous ?

Mme Bénédicte Roullier. Nous avons des objectifs mais certains sont des objectifs de moyens, dans le plan de relance, les réformes prioritaires et le programme budgétaire.

Dans le plan de relance, nous avons l’objectif d’accompagner 300 000 entreprises au titre de France Num d’ici le 31 décembre 2022. Cela ne comprend pas les objectifs de l’émission Connecte ta boîte pour laquelle nous avons de gros retours d’audience. Nous avons un impact assez massif lié à l’exposition. Nous avons par ailleurs traduit la vision qu’a France Num de la transformation numérique en indicateurs compatibles avec les indicateurs européens : la visibilité, la vente en ligne ou la transaction en ligne, la gestion.

Le chemin est malgré tout long et nous sommes probablement sur une accélération assez légère, dans une logique linéaire. Il faut attendre les résultats pour conclure. Je pense que l’accélération en pourcentage d’entreprises qui passent au numérique est plus complexe qu’en volume du côté des consommateurs où nous constatons une explosion des actes numériques

Nous insistons aussi toujours sur le fait qu’il s’agit d’une politique économique. C’est le résultat économique qui compte. L’important est l’avantage économique qu’en tire l’entreprise et le numérique n’est qu’un moyen. Il est fréquent que le sujet se détourne sur des chiffres. Les petites entreprises, notamment dans le secteur de l’hôtellerie, y sont très sensibles. Être sur un plateforme en se faisant capter 40 % de la valeur leur fait se poser des questions.

Pour nous, il reste important d’insister sur l’intérêt de l’activité économique. Le numérique n’est pas un but en soi mais un moyen au service de l’activité. Le programme Connecte ta boîte a été conçu ainsi, comme les témoignages et les actions liés à France Num. C’est la caractéristique de France Num et cela nous semble être le levier principal.

Il ne faut pas oublier que le numérique peut être perçu comme une charge par les entreprises. Les logiciels induisent une complexité et il faut resituer l’ensemble dans une politique économique.

M. Philippe Latombe, rapporteur. En termes d’équipements et non seulement de numérique pour faire de la vente sur une plateforme, les entreprises s’équipent-elles plus et sont-elles sensibles à la modernité de leurs outils informatiques ?

Mme Bénédicte Roullier. En ce qui concerne l’équipement, la question du financement peut constituer un sujet mais cela dépasse notre périmètre. Nous avons des chiffres d’équipement mais nous ne savons pas forcément si l’équipement est perçu comme obsolète.

M. Philippe Latombe, rapporteur. Souhaitez-vous attirer notre attention sur un sujet particulier ? Existe-t-il un frein pour lequel nous auriez besoin d’un coup de pouce du législateur ? S’agit-il au contraire de problèmes de financement plutôt que de problèmes législatifs ?

M. Aurélien Palix. Je ne pense pas que nous ayons de sujet réglementaire spécifique. Nous ne souhaitons pas que la numérisation soit subie comme une obligation mais plutôt qu’il s’agisse d’une démarche volontaire de la part des entreprises. Elles doivent comprendre qu’elles ont tout intérêt à se numériser pour augmenter leur activité.

Mme Bénédicte Roullier. Il me semble qu’une priorité nationale relative aux compétences numériques, y compris dans nos organisations, est nécessaire. Je ne sais pas dans quelle mesure cela concerne le législateur.

Audition, ouverte à la presse, de M. Paul-François Fournier, directeur exécutif en charge de l’innovation de Bpifrance (15 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. L’audition de M. Paul-François Fournier, directeur exécutif en charge de l’innovation de la banque publique d’investissement Bpifrance, doit nous permettre d’évoquer le financement des entreprises technologiques qui est évidemment un levier essentiel pour la création de licornes et pour la protection de la souveraineté numérique française et européenne.

Je pense que notre rapporteur sera également très intéressé par la façon dont Bpifrance soutient l’innovation dans le plan d’investissements d’avenir (PIA) et par son expérience durant la crise sanitaire. Comment ces financements ont-ils continué à se mobiliser ?

M. Philippe Latombe, rapporteur. Je souhaite vous interroger sur trois sujets. Le premier concerne votre approche de la notion de souveraineté numérique. Il s’agit d’une question rituelle lors de nos auditions qui provient de la grande diversité des définitions de cette notion. Comment définissez-vous cette notion et, surtout, comment est-elle prise en compte dans votre action de soutien et de financement des entreprises ? Je voudrais que vous nous fassiez part des différents instruments mobilisés ou gérés par Bpifrance, dont le fonds « French Tech Souveraineté ».

Ma deuxième question porte sur le plan Deeptech dont Bpifrance est l’un des principaux artisans. Je voudrais faire avec vous un bilan de sa mise en œuvre, notamment dans la crise sanitaire, et vous entendre sur les difficultés que peuvent rencontrer les entreprises technologiques pour se financer. Plusieurs interlocuteurs ont en effet mentionné lors des précédents échanges la nécessité de passer par le marché américain pour se financer faute de l’habitude, de la part des investisseurs français, de composer un portefeuille comportant des actifs au contenu technologique important. Je voudrais savoir si nous avons, selon vous, une véritable difficulté pour garder nos pépites comme cela nous est assez souvent indiqué.

Enfin, je ne peux pas ne pas revenir sur la polémique qui a concerné Bpifrance au sujet de son usage du cloud d’Amazon pour héberger les données du prêt garanti par l’État (PGE). Au-delà des critiques dans lesquelles je ne veux pas que nous rentrions, je voudrais savoir quelle analyse vous faites a posteriori de ce choix et comment vous voyez les géants du Web (GAFAM) dans l’environnement des start-up et des entreprises du numérique.

M. Paul-François Fournier, directeur exécutif en charge de l’innovation de Bpifrance. La souveraineté est une problématique qui revient assez fortement dans le débat public depuis quelques mois et quelques années, en particulier avec la crise, mais qui était déjà présente auparavant et revêt, selon les interlocuteurs, des caractéristiques assez diverses. De façon générale, il s’agit de maîtriser un certain nombre d’outils ou d’éléments de production.

Notre vision de ce sujet est résolument offensive. Depuis la création de Bpifrance, nous sommes convaincus qu’innovation et souveraineté sont intimement liées et que, pour être souverain, il faut avoir une logique de puissance technologique, donc des écosystèmes aussi efficaces et puissants que possible dans la technologie.

Suite à ce constat et avec le soutien de l’État, nous avons pris avec M. Nicolas Dufourcq une option très forte au moment de la création de Bpifrance en constatant que l’innovation a beaucoup changé en France depuis une vingtaine d’années. Nous avons vécu une période très riche avec de grandes filières industrielles très innovantes dans les années 1970 et 1980. Nous avions de grands groupes, de grands centres de recherche et développement (R&D) qui avaient le monopole de l’innovation. Avec le digital, l’innovation a complètement changé et le modèle le plus créateur de valeur est maintenant celui des start-up. Même si les filières traditionnelles continuent à être innovantes, les start-up sont aujourd’hui l’outil de création de valeur au début du processus d’innovation. Nous avons donc mis en place, avec l’État, une action très volontariste pour le financement des start-up autour de deux axes.

Le premier axe consiste à faciliter la création de start-up. Nous mettons en place des financements très significatifs au travers de dispositifs tels que les bourses French Tech, des avances remboursables, des prêts « innovation » ou des prêts d’amorçage pour donner aux jeunes et moins jeunes entrepreneurs le signal que la puissance publique accompagne ce processus de création. Nous avons ainsi presque triplé depuis 2013-2014 le nombre de start-up que nous finançons, aujourd’hui proche de mille entreprises par an. Nous avons donc une politique de diffusion de la création de start-up. Un point important pour nous est le changement de regard des jeunes ingénieurs, chercheurs ou entrepreneurs dans les écoles d’ingénieurs ou de commerce qui, aujourd’hui, considèrent la voie de la création de start-up comme une voie importante.

Le deuxième axe, pour que ces entreprises ne restent pas une forêt de bonsaïs, nécessite que nous disposions d’un écosystème dynamique d’investissement de capital-risque, donc de fonds d’investissement dynamiques et puissants, pour accompagner la croissance de ces entreprises. Suivant l’exemple de Londres, nous pensons que la France doit devenir un grand pays de l’industrie du capital-risque au niveau européen. Depuis cinq ou six ans maintenant, nous avons mené avec l’écosystème des fonds une action volontariste de croissance et de développement de la taille des fonds pour leur permettre d’accompagner la croissance de ces entreprises avec des moyens significatifs, notamment grâce aux programmes d’investissements d’avenir.

La taille moyenne des fonds dans lesquels Bpifrance était investisseur en 2012-2013 était de 80 millions d’euros. Aujourd’hui, la taille moyenne des fonds dans lesquels nous investissons est de plus de 200 millions d’euros, proche de 250 millions d’euros. Cet écosystème grandit donc. Le capital-risque français est passé de deux milliards d’euros en 2013-2014 à plus de cinq milliards d’euros cette année et la France est l’un des rares pays à avoir été en croissance en 2020.

Ce capital-risque français est de plus en plus européen. Il compte des fonds de plus d’un milliard d’euros et nous avons bien l’intention de continuer. De plus, nous avons plus de dix milliards d’euros de dry powder, c’est-à-dire de capacité à investir dans les années à venir. Cela a permis en 2020, malgré la crise, de réaliser 80 levées de vingt millions d’euros, alors que nous n’en comptions qu’une quarantaine en 2016. Douze levées de plus de 100 millions d’euros ont eu lieu l’année dernière en pleine période de covid contre six en 2016. Nous voyons donc bien la dynamique et la maturité de cet écosystème.

Nous sommes convaincus d’être au début de cette dynamique, qu’il faut continuer. C’est un message important. Je fais souvent le parallèle avec Airbus : nous sommes en train de créer une nouvelle filière industrielle, comparable aux filières traditionnelles, mis à part que ce sont des filières de tech avec des entreprises jeunes qui deviennent des entreprises de taille intermédiaire (ETI) de technologie. Nous avons parfois le sentiment qu’il a fallu pour créer Airbus et la filière aéronautique française une décision politique de quelques semaines entre la France et l’Allemagne. Cela a, en réalité, pris plutôt vingt ou trente ans. Nous demandons une continuité de l’action publique. Même si, avec le digital, ce type de filière est plus rapide à créer, il faut du temps et nous sommes au début du processus de création d’une grande filière de technologie avec des entreprises de plus en plus matures.

La croissance de cet écosystème nous semble nécessaire dans les années à venir pour qu’il donne sa pleine puissance. Il est encore jeune puisqu’il n’a que cinq ou six ans. Je rappelle que le capital-risque américain est né dans les années 1950, que la Silicon Valley est née dans les années 1950. Je ne dis pas qu’il faudra soixante-dix ans mais cinq ans n’est qu’un début dans ce type de dynamique et il faut persévérer.

Nous souhaitons ajouter deux sujets importants pour la souveraineté à cette dynamique. Nous sommes d’abord convaincus que nous allons vers une révolution de la deep tech, c’est-à-dire que les industries traditionnelles connaîtront la même rupture que le digital, avec des start-up venant disrupter les industries traditionnelles. Nous le voyons très bien dans le spatial que je pensais pourtant être une industrie de grands groupes. De multiples briques technologiques arrivent des start-up. C’est aussi le cas dans de nombreux domaines tels que la cybersécurité ou la santé. Ce sont souvent des sujets en rapport avec la question de la souveraineté.

Nous devons, avec l’État, accompagner cette nouvelle vague d’innovation. C’est la raison pour laquelle nous avons lancé voici deux ans un plan Deeptech qui vise à rapprocher notre écosystème de recherche de l’écosystème des entrepreneurs et investisseurs. Cet écosystème de recherche est de qualité au niveau mondial mais n’est pas suffisamment en connexion avec l’écosystème des entrepreneurs et des fonds d’investissement. D’une certaine façon, le jeune chercheur est comme le jeune ingénieur était voici cinq ans. Il faut qu’il considère la possibilité de valoriser le fruit de sa recherche par une start-up, sans en être forcément le patron, mais qu’il participe et réfléchisse avec l’écosystème des entrepreneurs.

Les priorités des années à venir sont ce changement culturel, l’accélération de la chaîne de financement, grâce aux sociétés d’accélération des transferts de technologie, l’adaptation des fonds de financement à ces sujets de deep tech, dont la nature est différente de celle des sujets du digital. Notre plan Deeptech a deux ans et des dynamiques commencent à émerger. Nous sommes au début d’un processus qui devrait nous permettre de créer de nouvelles entreprises, dans des domaines souvent souverains, souvent industriels. Nous espérons qu’ils nous permettront de créer de nouvelles entreprises françaises qui apporteront des solutions à ces problématiques d’avenir.

Il reste évidemment la question de la connexion avec les filières traditionnelles. Nous pensons que certaines de ces entreprises deviendront de grandes entreprises, comme cela est en train de se produire dans le digital. Certaines passent le cap des plusieurs milliards d’euros et, dans les années à venir, compte tenu de la dynamique en cours, nous pensons que des entreprises de la tech seront dans le CAC40 et vaudront huit ou dix milliards d’euros, qu’à un certain moment, certaines de ces entreprises pourront et devront être réintégrées dans les filières traditionnelles, car elles auront besoin de capacités de production, de savoir-faire de qualité d’usine ou de réseaux de distribution présents dans les filières traditionnelles ou parce qu’elles sont des briques de ces filières.

Nous avons donc annoncé, avec France Industrie, une plateforme nommée Tech In Fab qui vise à rapprocher les industries traditionnelles et ces pépites de la tech pour qu’elles fassent du commerce ensemble et, éventuellement, que ces grands groupes ou ces ETI les rachètent pour moderniser leurs entreprises.

Notre métier est d’apporter et de développer des opportunités afin que les filières françaises et l’État aient le maximum d’options pour choisir des solutions françaises. Pour que ces solutions soient efficaces, il faut souvent que ces entreprises deviennent internationales et, pour certaines d’entre elles, qu’elles s’attaquent au marché américain qui reste un marché extrêmement important et dynamique.

M. Philippe Latombe, rapporteur. Comment Bpifrance gère-t-elle le continuum de l’accompagnement de ces start-up, depuis le sourcing d’une entreprise propriétaire d’une technologie qu’elle souhaite développer jusqu’à ce que cette entreprise devienne incontournable pour cette technologie ? Comment intervenez-vous ? Comment sourcez-vous les entreprises ? Comment les accompagnez-vous, lors des premières phases, puis lorsqu’elles grandissent ?

M. Paul-François Fournier. Nous disposons de trois outils très complémentaires : le financement de l’innovation ou l’aide à l’innovation, l’investissement et l’accompagnement.

Le premier outil est à la base de notre métier en ce qui concerne le sourcing. L’État au travers des programmes d’investissements d’avenir ou l’Europe nous donnent des moyens nous permettant de proposer aux très jeunes entrepreneurs des outils de financement, le premier étant une bourse French Tech pour un entrepreneur au moment de la création de son entreprise. Il s’agit en fait d’une subvention pour lui permettre de commencer, de créer son entreprise et d’aller chercher les premiers financements dits des friends and family, ou des family offices et des gens autour de lui qui peuvent l’aider. Cette bourse peut aller jusqu’à 50 00 euros ou 90 000 euros dans le domaine de la deep tech en lien avec le monde de la recherche.

Nous avons ensuite des dispositifs de prêts, tels que le prêt d’amorçage ou le prêt innovation. Ils nous permettent, au fur et à mesure que l’entreprise grandit, de lui prendre du risque. C’est notre rôle et il est assez significatif pour ces prêts. C’est pourquoi ils sont garantis par l’État. Ils nous permettent de financer le début de la vie de l’entreprise pour qu’elle accoste le monde essentiel de l’investissement. C’est le deuxième pilier qui prendra alors le relais.

Cette première partie du financement est extrêmement importante et extrêmement territoriale. Je pense que c’est une des forces de Bpifrance, comparée à un certain nombre d’acteurs européens ou mondiaux dans le financement de l’innovation. Nous avons cinquante implantations régionales que vos collègues connaissent et côtoient je l’espère. Nous avons des équipes spécialisées d’ingénieurs, au plus près des écosystèmes d’incubateurs, des pôles de compétitivité. Nous sommes aux côtés des régions qui nous confient des moyens. Nos trois donneurs d’ordres sont en effet l’État, les régions et de plus en plus l’Europe.

Notre première étape est donc un accompagnement avec un financement dans lequel nous prenons un fort risque, assumé. Il s’agit en général au départ d’une petite subvention, puis de prêts pour aider l’entreprise à trouver les premiers fonds.

M. Philippe Latombe, rapporteur. Faites-vous du préfinancement de crédit impôt recherche ? C’est un outil plébiscité par l’ensemble des interlocuteurs que nous avons entendus. Ils disent qu’il ne faut pas y porter atteinte mais que le processus est un peu lent. Les banques classiques ne savent pas trop faire. Avez-vous cette expertise et cette compétence ?

M. Paul-François Fournier. Nous le faisons même si la mobilisation du crédit impôt recherche est un processus un peu long car il faut que l’État valide l’enveloppe. Nous essayons de le faire de plus en plus, mais tous nos financements permettent justement d’avoir les moyens d’attendre le délai de remboursement du crédit impôt recherche.

De façon générale, tous nos moyens permettent de trouver des financements, que ce soit du montant du crédit impôt recherche lui-même ou que ce ne soit pas lié à ce crédit, ce qui simplifie la situation en nous permettant d’aller plus vite dans le financement de l’entreprise, sans entrer dans la logique administrative de la mobilisation du crédit impôt recherche. Inversement, notre conviction est qu’il faut regarder pourquoi nous ne pourrions pas aller plus vite. C’était une des demandes régulières des entrepreneurs : pouvoir mobiliser plus rapidement et avoir des remboursements plus rapides du crédit impôt recherche.

Après les premiers financements qui servent à lancer l’entreprise et à trouver des financements autour de soi, il faut que l’entreprise parvienne à convaincre un fonds d’investissement qui prendra la relève. Nous continuerons à aider au financement, mais le fonds est tout de même l’outil qui donnera les moyens. Il faut aussi reconnaître que c’est lui qui sélectionne les entreprises puisque le dispositif des start-up fonctionne avec une sélectivité progressive pour que les moyens soient donnés aux entreprises les plus prometteuses. Nous finançons massivement les fonds d’investissement et, tout d’abord, les fonds d’amorçage.

Quelques 36 fonds d’amorçage sont répartis sur l’ensemble du territoire français. Il s’agit d’une vraie richesse française, grâce aux programmes d’investissements d’avenir. Ces fonds d’amorçage sont extrêmement territorialisés : près de 60 % de leurs financements proviennent des territoires, en dehors de l’Ile-de-France. C’est la première validation tierce permettant de s’assurer que d’autres acteurs que nous sont convaincus de l’intérêt du projet.

Nous finançons au début mais nous jugeons qu’il faut ensuite que d’autres financent et c’est l’objet de l’amorçage : s’assurer que d’autres acteurs mettent des moyens. En l’absence d’autres acteurs, les règles européennes font que l’État ne peut pas continuer à financer seul au travers de Bpifrance une entreprise sur laquelle personne d’autre ne met un minimum de moyens de financement privés et c’est conforme à notre conviction.

Il existe aussi un réseau de fonds sectoriels thématiques, parfois régionalisés. Nous finançons cet écosystème de près de 120 fonds français qui devient de plus en plus puissant et important. Il peut de mieux en mieux accompagner les entreprises, en termes de développement mais aussi pour avoir les moyens d’aller à l’international ou de faire des acquisitions pour grandir

Nous travaillons avec Business France et des dispositifs de diagnostic d’innovation. Ce sont de petites missions de conseil, très concrètes, comme « Pitch&Win » pour apprendre à « pitcher », en anglais mais pas uniquement, c’est-à-dire pour savoir expliquer en dix minutes son entreprise. C’est un exercice absolument essentiel pour se faire comprendre. Nous faisons aussi des diagnostics sur la stratégie, sur l’industrialisation et nous avons beaucoup de missions d’accompagnement à l’international pour permettre aux entreprises d’accoster en Europe ou aux États-Unis. Dans certains domaines, c’est absolument essentiel.

Enfin, un enjeu important et complexe consiste à tisser le lien avec les filières traditionnelles pour faire travailler les grands groupes français, les ETI ou les PME avec cet écosystème de start-up. Il s’agit à la fois de faire en sorte que ces start-up aient des clients, qu’elles trouvent de vrais marchés et de vrais clients et, pour les grands groupes, d’avoir l’opportunité de travailler avec des start-up proches de chez eux, qui leur permettent d’accélérer leur digitalisation ou d’intégrer une nouvelle brique technologique et de rendre plus compétitive leur offre. Ce maillage est un grand enjeu des années à venir pour ré-innover dans ces filières.

Nous sommes donc très heureux que France Industrie parraine avec nous cette plateforme Tech In Fab et commence, dans la deep tech, à créer des liens de plus en plus étroits entre les start-up et les grands fleurons industriels. Ces start-up deviennent de véritables éléments de la filière et permettront de créer des solutions, de retrouver de nouveaux marchés. Elles pourront rester indépendantes ou intégrer des groupes ou des ETI ayant besoin de ces briques technologiques.

M. Philippe Latombe, rapporteur. Qui co-investit dans les fonds dans lesquels vous investissez ? S’agit-il de particuliers, de family offices, de fonds de fonds contenant des fonds étrangers ? Pensez-vous que le milieu bancaire et assuranciel est suffisamment présent dans ces fonds, qu’il a une culture de l’investissement dans les start-up et la deep tech ?

Les Français adorent l’assurance-vie, les fonds en euros qui sont constitués d’obligations d’État et d’immobilier. Les compagnies d’assurance ont-elles suffisamment intégré le virage technologique et la nécessité d’investir dans ces entreprises d’avenir ? En ce qui concerne les établissements bancaires avec leurs capitaux propres, jouent-ils le rôle d’investisseurs en capital et en risque, pas uniquement en prêts ?

M. Paul-François Fournier. Nous sommes un acteur important de ces fonds. Nous investissons une part minoritaire mais très importante dans ces fonds. Ce sont des sociétés de gestion qui captent des moyens financiers des acteurs du monde de l’assurance, de la banque, des family offices, des fonds de pensions, des banques publiques pour lever un fonds d’investissement. Leur première mission est de convaincre les investisseurs, souvent institutionnels ou family offices, d’investir dans leur fonds pour, ensuite, faire leur vrai métier : investir dans le capital des start-up.

Nous sommes un acteur important de cet écosystème puisque nous sommes volontaristes. Un de nos rôles consiste à être aux avant-postes pour aider à la transformation de l’écosystème, au travers des financements du programme d’investissements d’avenir. Nous avons incité les fonds à augmenter leur taille moyenne en investissant plus. Par exemple, nous leur demandons de passer leur fonds de 100 millions à 200 millions d’euros en les aidant à lever et en donnant le signal que nous sommes prêts à suivre. Nous investissons aussi plus dans des fonds d’amorçage, en particulier de la deep tech, car ce domaine est un peu plus risqué que la technologie. Nous mettons dans ces fonds régionaux ou ces fonds d’amorçage un peu plus que les 20 % que nous mettons en moyenne dans un fonds afin d’aider à monter les tours de table. Nous jouons un rôle « activiste » pour pousser l’écosystème à changer d’échelle.

Les co-investisseurs dans ces fonds sont rarement des personnes physiques. Cet écosystème est peu accessible aux personnes physiques et c’est la raison pour laquelle nous avons lancé une première initiative avec le fonds « Bpifrance Entreprises 1 ». Toutefois, ce sont plutôt des family offices – c’est-à-dire des gens qui ont des moyens très significatifs – qui investissent dans ces fonds, les tickets allant en général de 500 000 euros à un million d’euros. Les investisseurs sont aussi des institutionnels : les assureurs, les banques et les fonds de pension étrangers qui, de plus en plus, viennent investir dans des fonds français. Je crois qu’il faut s’en réjouir. Beaucoup de fonds étrangers de capital-risque viennent sur la place française et c’est une bonne nouvelle mais le mieux est qu’ils investissent directement dans les fonds français avec nos investisseurs et nos sociétés de gestion françaises afin de booster notre filière française de la finance et de la faire croître.

Un des gros enjeux consiste à attirer les fonds de pensions, en particulier américains, pour qu’ils investissent directement dans les fonds français. Nous commençons à y parvenir. C’est un axe important pour faire croître notre écosystème de fonds français et l’aider à grandir.

La situation évolue bouge du côté des institutionnels, d’abord parce que l’État a joué un rôle d’incitation très significatif depuis quelques années. Vous avez déjà entendu parler de l’initiative de Philippe Tilly. Nous étions hier avec M. Nicolas Dufourcq et M. Philippe Tilly pour faire le point sur cette initiative. Il s’agit de pousser les principaux institutionnels français à investir beaucoup plus significativement dans les fonds importants, à 500 millions d’euros ou un milliard d’euros, pour accompagner les importantes levées de fonds en cours de développement en France. Ce processus est nouveau et la rentabilité n’était jusqu’à présent pas très bonne. Il est difficile de demander à quelqu’un, dont l’assurance-vie, avec une rentabilité maximale, est le métier, de prendre plus de risques dans un écosystème non encore mature.

La bonne nouvelle est que la mécanique mise en place collectivement produit ses effets. Chaque élément de l’écosystème nourrit l’autre et permet de faire grandir l’ensemble. Cette dynamique permet aux start-up de grandir, de lever plus de fonds et d’être plus rentables, donc plus attractives, en termes de retour sur investissement pour ces acteurs. La rentabilité de ces fonds est maintenant stable et aura tendance à s’accroître, puisque la technologie jouera un rôle de plus en plus important. Nous arrivons à une rentabilité qui permet d’attirer de plus en plus de capitaux français et étrangers pour parvenir, dans les années qui viennent, à un écosystème mature qui donne toute sa puissance.

La situation évolue. Il faut continuer car le mouvement est encore naissant mais les signaux sont plutôt positifs même s’il reste d’importants progrès à faire. Nous aurons besoin de beaucoup de capitaux dans l’avenir car notre potentiel de start-up est croissant. Nous avons de plus en plus de jeunes entreprises nées voici quelques années et, avec le plan Deeptech, nous en créerons de plus en plus. Elles auront massivement besoin de capitaux. Si tout fonctionne bien, nous aurons besoin de toujours plus de capitaux et ce sera plus facile si l’écosystème de la tech démontre qu’il crée de la valeur pour ces investisseurs institutionnels.

M. Philippe Latombe, rapporteur. Le fait que des fonds de pensions ou des fonds étrangers fassent partie des fonds ne serait-il pas, pour eux, une stratégie d’identification à moindre coût de pépites qu’ils pourraient ensuite acheter ? Participer à de tels fonds n’est-il pas, pour des fonds de pensions ou des fonds étrangers, un moyen assez facile de sourcer des pépites qu’ils pourraient acquérir ?

Par ailleurs, les entrepreneurs sont-ils aujourd’hui suffisamment ouverts à l’idée d’ouvrir leur capital à des fonds ? Cela signifie diluer leur capital, parfois décorréler la partie technique de la partie gestion financière. L’entrepreneur, dans une start-up ou une ETI de la tech, est-il suffisamment mature pour accepter ces investissements ?

Aux États-Unis, il a fallu du temps et cela fait maintenant partie de leur culture. Nos entrepreneurs ne préfèrent-ils pas plutôt avoir moins de fonds mais avec des personnes physiques qu’ils connaissent, faisant partie de leur environnement amical ou avec qui il existe un lien d’être humain à être humain ? Ce n’est pas tout à fait pareil avec un fonds.

M. Paul-François Fournier. Pour répondre à votre première question, je crois au contraire que les fonds de pensions, américains par exemple mais pas uniquement, constituent un formidable moyen d’aider notre écosystème français à grandir et à créer ces start-up sans que le risque soit avéré. Nous visitons ces fonds de pensions, une ou deux fois par an. Ce sont les fonds de retraites, des hôpitaux du Canada, du Québec ou de Pittsburg ou des pompiers d’Atlanta. Je les ai rencontrés et ils ne manifestent aucun intérêt pour l’avenir de l’entreprise. Le seul et unique regard qu’ils ont est le retour sur investissement, puisque ce sont les retraites de ces pompiers ou personnels soignants. En passant par ces fonds, le lien est uniquement financier pour la majorité de ces investissements.

Pour les corporate, le risque peut exister et nécessite probablement une vigilance ponctuelle pour certains fonds très sectoriels. Sans rentrer dans les détails, cette vigilance existe. Elle permet parfois de se demander si le fait qu’un industriel de tel ou tel pays entre dans un fonds d’investissement pose une question d’accès à du savoir. Le niveau de risque est moins important que lorsqu’ils investissent directement dans l’entreprise mais il existe une vigilance, de notre part et de celle de l’État. Il est déjà arrivé quelquefois que des investissements ne se fassent pas pour des raisons de souveraineté sur certaines thématiques.

La difficulté provient de ce que nous ne croyons pas pouvoir construire un écosystème qui ne soit pas un minimum ouvert sur le reste du monde. C’est là toute la complexité de la souveraineté. Avoir des entreprises qui soient de vraies solutions technologiques pour moderniser des filières nécessite souvent qu’elles soient très innovantes donc puissantes et compétitives au niveau mondial. L’accès à des capitaux est essentiel pour les faire croître puisque, même si beaucoup d’argent dort dans les bas de laine, beaucoup d’argent se trouve aussi à l’international et permet de réduire notre déficit du commerce extérieur. Il ne s’agit pas seulement de pétrole, mais aussi d’argent investi dans nos start-up. Parfois, des fonds américains ou étrangers européens qui co-investissent dans des entreprises peuvent aussi donner à l’entreprise un accès à un réseau de compétences ou à un réseau de relations qui a de la valeur.

Pour nous, il faut garder ce chemin de crête entre un écosystème de fonds français puissants que nous développons, qui soient connectés à des fonds étrangers équilibrés pour permettre aux entreprises de se développer sur les marchés internationaux et de devenir de grandes entreprises innovantes, concurrentielles par rapport à leurs homologues internationaux. Cet équilibre est compliqué. Nous y travaillons tous les jours mais nous ne croyons pas qu’un écosystème français uniquement financé sur les fonds français soit pérenne. Nous pensons que ces entreprises doivent s’ouvrir à l’international pour être puissantes et apporter des réponses efficaces à notre écosystème.

En ce qui concerne la culture, nous avons beaucoup progressé. Je comprends l’impatience sur ces sujets de souveraineté technologique : nous sommes sur la bonne voie. Il faut reconnaître que nous avons pris un peu de retard durant ces quinze ou vingt dernières années mais nous sommes sur une dynamique plutôt positive.

Dans la tech traditionnelle, dans le digital, nous avons maintenant plusieurs générations – ce qui participe à la qualité de l’écosystème – avec des entrepreneurs qui ont réussi et réinvestissent dans les start-up ou recréent des start-up. Il nous semble que cet ensemble est à un niveau tout à fait conforme aux références internationales. Cet actif a été bâti collectivement depuis une dizaine d’années.

Lorsqu’un entrepreneur dit ne pas vouloir des fonds, c’est en général un souci d’ambition ou de modèle, mais l’ensemble des entrepreneurs considèrent qu’intégrer un investisseur est un moyen considérable de grandir et nous les accompagnons dans cette logique. Nous poussons aussi les fonds d’investissement à avoir une culture de l’accompagnement, c’est-à-dire à ne pas seulement regarder l’argent mais à créer un écosystème avec des talents, des managing partners. Ce sont souvent d’anciens entrepreneurs qui accompagnent l’entrepreneur pour lui permettre d’accélérer et de capitaliser sur les succès et les échecs de ses prédécesseurs.

Dans la deep tech, nous sommes au début du changement culturel. Nous avons annoncé voici deux jours un rapport avec le Boston Consulting Group (BCG), Bio-Up et France Biotech. Notre écosystème d’entreprises de biotechnologie est important mais la crise a montré un certain nombre de limites. C’est l’occasion de faire croître notre ambition. Un axe important concerne les talents. Pour ces entreprises de deep tech, les marchés sont plus complexes et l’accès aux marchés est souvent plus complexe parce que la science elle-même est plus complexe que dans le digital. Le financement est parfois plus long parce qu’il faut plus de capitaux.

Nous avons encore du travail pour l’acculturation des uns et des autres, y compris des fonds d’investissement, des accompagnateurs, des chercheurs qui envisagent l’entreprenariat. Il faut savoir comment attirer des talents. Nous avons appris ces dernières années que la solution est en général dans la constitution d’une équipe de co-fondateurs, des binômes ou des trinômes où chacun a des éléments de compétences complémentaires pour couvrir le spectre des besoins de ces entreprises. Cela nous a été confirmé par notre rapport sur la biotech qui est en quelque sorte la partie émergée de ce monde des entreprises de technologie.

M. Philippe Latombe, rapporteur. Lors des auditions précédentes, nombre d’entrepreneurs ont dit ne pas souhaiter des subventions – même si elles sont utiles au départ – mais avoir surtout besoin de clients. Ils jugent une relation de client à fournisseur plus intéressante que des subventions. Le client a des exigences auxquelles il faut savoir répondre ; il faut savoir négocier un contrat…

Bpifrance a un remarquable carnet d’adresses d’entreprises innovantes. Comment êtes-vous prescripteur de ces entreprises auprès des grands comptes ? Vous avez parlé des grandes entreprises et dit que vous les mettiez en relation mais vous faites, indirectement, partie de l’État. Comment arrivez-vous à devenir prescripteur de ces entreprises auprès de l’État ?

Je donne un exemple : nous avons entendu une entreprise très innovante dans le domaine de la sécurisation des cartes du type cartes d’identité, soutenue par vous, retenue par des pays étrangers mais pas par la France. Pourtant, c’est une pépite française que vous avez identifiée, qui a été identifiée par tous, qui a eu des prix d’innovation. Cela pose des questions sur la suite, sur « l’après-BPI ».

M. Paul-François Fournier. C’est une question au cœur de nos sujets actuels. Vous avez raison et nous sommes de ce point de vue très clairs : nous pensons qu’un euro de client vaut plus qu’un euro d’investissement ou de financement de Bpifrance. Nous ne minimisons pas notre action, mais notre enjeu est d’aider l’entreprise, de créer des conditions permettant qu’un écosystème de capital-risque les fasse croître. Mais, à la fin, une entreprise vit de ses clients et de sa capacité à se développer. Comme les fonds, nous sommes convaincus que notre écosystème doit être propice à ce développement.

Je pense que nous n’avons jusqu’à présent pas complètement réussi à réaliser ce tissage entre l’écosystème du digital et l’écosystème des entreprises françaises. Nous y mettons beaucoup d’énergie. Nous nous appliquons à nous-mêmes cette logique. Vous avez certes parlé du PGE mais nous travaillons avec cent start-up françaises. C’est parfois difficile car, même si nous ne sommes pas une très grande entreprise, nous avons nos contraintes, nos modes de fonctionnement. Nous sommes bien conscients de l’importance de ce sujet. Nous avons créé voici cinq ans le hub avec la conviction que le moment viendrait un jour de connecter l’écosystème. Nous avons relancé voici quelques jours la plateforme Tech In Fab. Nous déployons tous nos efforts pour que les filières et les grands groupes s’intéressent aux start-up.

Je pense que nous franchissons actuellement une étape, que nous passons en fait la troisième étape de la maturité de l’écosystème des start-up et de ses rapports avec les grandes entreprises. La première étape fut de l’ordre de l’amusement, chacun créant son incubateur tandis que les grands groupes invitaient les start-up un peu comme on invite un pauvre pour l’aider. Lors de la deuxième étape, nous avons vu plus de scepticisme sur la capacité de ces entreprises à intégrer du business, le sentiment étant que nous en faisions trop sur les start-up. Je pense que les grandes entreprises sont maintenant convaincues que ces start-up deviennent de vraies entreprises et ne sont plus une mode, mais de véritables solutions. La meilleure preuve en est le partenariat que nous avons signé avec France Industrie. Il est assez symbolique, très important et a été suivi par une trentaine de grands groupes industriels, ce qui montre que la situation évolue.

Des dizaines d’entreprises valent déjà entre 500 millions et un milliard d’euros, ont plusieurs millions de chiffre d’affaires et des dizaines d’autres suivront, je vous le promets. Ce ne sont plus de petites start-up, mais des entreprises capables de résoudre les problèmes industriels de très grandes entreprises et d’apporter des solutions industrielles. Leur puissance financière et leur exposition internationale leur permettent de trouver des solutions.

Il reste un énorme travail d’acculturation. C’est parfois une de nos inquiétudes mais nous essayons de faire évoluer les mentalités avec ces plateformes, avec des partenariats, par de la communication au travers de nos évènements à l’occasion desquels nous mettons en valeur les succès de ces entreprises.

Je souhaite revenir sur un point important pour la souveraineté : les acquisitions de start-up par l’étranger. Notre ambition, en tant que financeur, est que des entreprises deviennent de très grandes entreprises et recréent des usines comme Ynsect à Amiens ou Aledia à Grenoble. Ces start-up recréent donc de l’industrialisation et nous espérons que certaines d’entre elles seront au CAC 40 dans cinq ou dix ans. Toutefois, une bonne part d’entre elles arriveront – c’est la règle du jeu – à une limite en capacité de réseau de distribution ou seront une vraie opportunité pour ces filières. L’enjeu est alors qu’elles puissent être rachetées. Il s’agit que les filières traditionnelles rachètent ces entreprises pour les intégrer et leur donner toute leur puissance grâce à leur propre réseau de distribution ou à leur savoir-faire industriel.

Nous regardons cet enjeu par le prisme des acquisitions étrangères de ces start-up, ce qui nous interpelle à chaque fois. L’État et nous-mêmes sommes vigilants sur ces sujets, en particulier sur des sujets souverains. Pourtant, nous oublions parfois de nous demander pourquoi nos filières traditionnelles ne choisissent pas d’acquérir ces start-up. Lorsque nous regardons les chiffres de nos fonds d’investissement, les acquisitions de start-up en 2019 par des fonds dans lesquels nous sommes investisseurs se font pour 60 % auprès d’investisseurs français. La grosse majorité des sorties se font donc avec des investisseurs français. 12 % des sorties se font auprès d’investisseurs européens donc près des trois quarts sont des acquisitions par des investisseurs européens. 17 % des sorties sont des acquisitions par des investisseurs américains. C’est beaucoup mais ce n’est que 17 %. Par contre, parmi les 60 % acquises par des investisseurs français, la moyenne de la valorisation est le tiers de la valorisation faite par les acquisitions des investisseurs américains.

Nous devons nous interroger sur le fait que ces entreprises sont rachetées aux États-Unis, mais nous avons aussi besoin d’avoir en France des opportunités d’acquérir ces entreprises. Il faut faire en sorte que les moyens soient mis pour consolider ces acteurs en France. Le fait que nous ayons des acteurs importants qui nous permettent de devenir des consolidateurs est probablement un des moyens pour le digital. Pour la deep tech, il faudra également que nos grands groupes rachètent ces belles entreprises, en particulier les plus belles d’entre elles, pas uniquement les moins valorisées.

M. Philippe Latombe, rapporteur. Vous avez en partie répondu à ma question. Je me permets de demander à nouveau comment vous pouvez prescrire auprès de l’État et des collectivités territoriales. La commande publique est un formidable levier de financement par la relation client. Comment ces entreprises qui pourraient mettre leurs technologies au service de l’État peuvent-elle être référencées à ce niveau ? Quand l’État a envie d’investir dans une solution informatique, il préfère de grands acteurs parce que c’est plus simple, qu’il suffit de passer un seul marché public et une seule commande publique. Or, il faut faire émerger des acteurs de taille beaucoup plus petite. Comment Bpifrance est-elle un prescripteur de ces entreprises auprès de l’État pour qu’elles aient accès à la commande publique ?

M. Paul-François Fournier. Nos plateformes telles que Tech In Fab ou la plateforme du hub qui porte sur une dimension plus deep tech nous permettent de travailler avec l’union des groupements d’achats publics (UGAP) ou avec l’État et les acheteurs de l’État. Il m’est arrivé plusieurs fois d’intervenir auprès des acheteurs de l’UGAP pour leur expliquer la dynamique des start-up et comment faire.

Il faut reconnaître que la commande publique n’est probablement pas le meilleur moyen de faire de l’innovation. Les politiques d’achat sont parfois contradictoires avec la capacité d’innovation et il faut trouver des moyens de traiter le sujet de l’innovation, souvent différent de l’achat de produits matures. Sur des sujets de souveraineté ou de développement de l’innovation, il faut avoir les moyens de sortir de la seule logique à court terme des moyens pour donner sa chance à une start-up.

Plus globalement, nous faisons tout ce que nous pouvons, mais, à un moment, nous arrivons au bout de nos capacités. Notre métier est de financer les entreprises. Nous le faisons le mieux que nous pouvons, mais nous avons nos propres enjeux d’efficacité. Notre rôle est de donner de la visibilité à ces start-up, mais je ne crois pas raisonnable que nous devenions l’agent de transformation de l’État dans sa commande publique. Nous sommes un opérateur résolument centré sur la culture de l’entreprise pour apporter à l’État une proximité avec l’entreprise et une capacité à déployer des moyens simples de financement. Je ne nous sens pas devenir une agence de transformation de l’État.

Nous militons pour un modèle qui a commencé à donner ses fruits, celui de l’agence de l’innovation de la défense. Elle est notre interlocuteur potentiel vis-à-vis de la défense. Dans la santé, nous avons proposé avec le Boston Consulting Group et France Biotech la création d’une agence de l’innovation de la santé.

Ces agences doivent être l’aiguilleur, l’agent de la transformation et le parti pris des start-up, dans l’écosystème de la santé ou de la défense. Quel que soit son nom, nous avons besoin d’une structure qui nous donne des priorités dans le domaine de la santé et qui puisse accompagner les entreprises, être leur avocat pour simplifier les processus administratifs. Cette structure doit aussi être un acheteur de produits innovants, ici des produits de santé, mais c’est valable dans de nombreux autres domaines. Son regard doit être innovant et probablement plus souverain. Nous avons de plus en plus besoin de ce type d’interlocuteur qui soit la voix de l’État client et la voix des entreprises françaises à l’intérieur de l’administration, en particulier des entreprises innovantes qui sont plus fragiles et ne disposent pas forcément de lobbyistes pour leur permettre de comprendre les méandres des cabinets et des administrations. Une telle agence, en plus de guider les entreprises, pourrait leur donner un vrai modèle économique, puisqu’elles ont besoin de plus de visibilité qu’une structure traditionnelle.

M. Philippe Latombe, rapporteur. Souhaitez-vous aborder un autre sujet ?

M. Paul-François Fournier. J’insiste sur notre conviction que la souveraineté est aussi un acte très offensif consistant à continuer à développer nos écosystèmes d’innovation pour multiplier les opportunités en ayant de plus en plus de très belles entreprises de tech internationales, dans le digital et, demain, dans la santé ou la deep tech. Les acheteurs et les partenaires des filières traditionnelles auront alors de plus en plus d’opportunités de trouver des solutions efficaces à intégrer dans leur propre filière. Nous bâtirons ainsi ce cercle vertueux de la puissance qui permettra de rayonner et de créer de la valeur en France.

Audition, ouverte à la presse, de Mme Martine Garnier, responsable du département « Numérique et mathématiques appliquées », et de M. Frédéric Precioso, responsable scientifique « Intelligence artificielle », de l’Agence nationale de la recherche (ANR) (15 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Nous recevons Mme Martine Garnier, responsable du département « Numérique et mathématiques appliquées » au sein de l’agence nationale de la recherche (ANR), accompagnée de M. Frédéric Precioso, responsable scientifique « Intelligence artificielle ».

L’agence nationale de la recherche est un établissement public à caractère administratif, placé sous la tutelle du ministère de l’enseignement supérieur, de la recherche et de l’innovation (MESRI). Nous avons souhaité organiser cette audition au regard du fort contenu technologique de la notion de souveraineté numérique. L’audition d’aujourd’hui devrait nous permettre d’aborder le rôle de l’agence en matière de soutien à la recherche dans le domaine numérique et plus particulièrement les sujets ayant trait à l’intelligence artificielle. Votre agence est en effet chargée du pilotage de la stratégie nationale « Intelligence artificielle ».

M. Philippe Latombe, rapporteur. Je souhaite évoquer avec vous trois sujets. Le premier concerne votre approche de la notion de souveraineté numérique. Il s’agit d’une question rituelle lors de nos auditions qui provient de la grande diversité des définitions de cette notion. Comment définissez-vous cette notion et comment est-elle prise en compte dans vos actions de soutien à la recherche. Je voudrais que vous nous parliez des partenariats de l’ANR avec les autres acteurs de la recherche française dans le domaine des technologies numériques.

Ma deuxième question porte sur la stratégie nationale de recherche en Intelligence artificielle qui prend appui sur le rapport de M. Cédric Villani de 2018 et a conduit à la mise en place en France de quatre instituts interdisciplinaires d’Intelligence artificielle, dits instituts 3IA. J’aimerais faire avec vous un bilan de la mise en œuvre de cette stratégie et du rôle de l’ANR en son sein. La crise sanitaire a-t-elle ralenti cette dynamique ? Aurons-nous besoin d’un nouveau coup d’accélérateur ? Je voudrais aussi savoir comment nous nous positionnons sur ce sujet par rapport aux autres pays européens et vous entendre sur les usages de l’Intelligence artificielle, notamment dans l’industrie.

Pour conclure, je souhaite aborder un sujet qui vous concerne fortement, celui de la formation. Aucune recherche efficace n’est possible sans formation adaptée et sans attractivité. De ce point de vue, comment jugez-vous notre système de formation ? La recherche est-elle suffisamment attractive pour les talents dans des domaines où les rémunérations dans le secteur privé sont parfois beaucoup plus importantes que dans la recherche publique ? Je pense notamment aux grands acteurs type géants du Web (GAFAM).

Enfin, comment faire pour que nous restions dans la course en termes d’innovation ?

Mme Martine Garnier, responsable du département Numérique et mathématiques appliquées de l’agence nationale de la recherche (ANR). L’agence nationale de la recherche est un établissement public à caractère administratif placé sous la tutelle du ministère de l’enseignement supérieur, de la recherche et de l’innovation. Le rôle de l’agence est de mettre en œuvre le financement de la recherche sur projets pour les opérateurs publics, qu’il s’agisse d’opérations entre eux ou avec des entreprises.

L’ANR a été créée en 2005 pour promouvoir la recherche sur projets, mais aussi pour stimuler l’innovation en favorisant l’émergence de projets collaboratifs pluridisciplinaires et en encourageant les collaborations entre public et privé. Son rôle est également de renforcer le positionnement de la recherche française aux niveaux européen et mondial. Les missions de l’agence, définies dans le décret du 1er août 2006 et révisées le 24 mars 2014, sont les suivantes :

– financer et promouvoir le développement des recherches fondamentale et finalisée, l’innovation technique et le transfert de technologies ainsi que les partenariats entre le secteur public et le secteur privé ;

– mettre en œuvre la programmation arrêtée par le ministre chargé de la recherche qui recueille l’avis des ministres exerçant la tutelle d’organismes de recherche ou d’établissements publics d’enseignement supérieur ;

– gérer de grands programmes d’investissement de l’État dans le champ de l’enseignement supérieur et de la recherche et suivre leur mise en œuvre ;

– renforcer les coopérations scientifiques aux plans européen et international en articulant sa programmation avec des initiatives européennes et internationales ;

– analyser l’évolution de l’offre de recherche et mesurer l’impact des financements alloués par l’agence sur la production scientifique nationale.

Ainsi, l’action de l’ANR vise à soutenir l’excellence de la recherche française à des degrés variés de maturité technologique, à soutenir la recherche fondamentale, à encourager les partenariats scientifiques académiques et public-privé et à favoriser des coopérations européennes et internationales.

L’ANR propose pour cela des appels à projets compétitifs et met en œuvre des processus de sélection rigoureux basés sur l’évaluation par les pairs. Ces processus respectent les principes internationaux en la matière : impartialité, équité de traitement, confidentialité, déontologie, intégrité scientifique et transparence.

Le plan d’action et la feuille de route programmatique de l’ANR définissent, pour une année budgétaire donnée, les principales actions de l’agence et les priorités de recherche. Ils détaillent les appels à projets et les instruments disponibles, offrant une vue d’ensemble de l’offre de financement de l’agence. Le plan d’action de l’ANR permet d’exprimer les efforts de recherche menés par la France pour accompagner notre société face aux grands enjeux auxquels elle est confrontée, en lien avec les défis sociétaux, les nouvelles missions et les partenariats pour le nouveau programme-cadre Horizon Europe, mais aussi les mégatendances de l’organisation de coopération et de développement économiques (OCDE) ou les objectifs de développement durable des Nations unies. Ce plan favorise ainsi la lisibilité des efforts de financement public de la recherche vers les citoyens, la promotion de la culture scientifique et permet un suivi quantifié de l’action de l’État.

Depuis 2010, l’agence est également opérateur de l’État pour la gestion des programmes d’investissements d’avenir – les PIA 1, 2, 3 et maintenant 4 – dans le champ de l’enseignement supérieur et de la recherche. L’agence assure à ce titre la mise en œuvre des appels à projets, l’organisation de la sélection, de la contractualisation, du financement, du suivi, de l’évaluation de l’impact du projet et des actions du programme qui relèvent de ce champ. Chaque programme des investissements d’avenir fait l’objet d’une convention entre l’État et l’ANR qui définit notamment les objectifs et la gouvernance.

Le fait majeur de l’année 2020 demeure bien entendu la crise sanitaire de la covid-19 qui a conduit l’agence à s’adapter pour assurer complètement ses missions, finaliser l’ensemble des appels à projets programmés et réduire au maximum l’impact de la situation sanitaire sur l’activité de recherche de la communauté scientifique française.

Des actions spécifiques importantes liées à la covid-19 ont été prises, en particulier des mesures d’urgence mises en place dès le début de l’année 2020. Sans les détailler complètement car elles sont nombreuses, dès le début de l’épidémie, en articulation avec notre ministère de tutelle et avec le réseau REsearch and ACTion targeting emerging infectious diseases (REACTing), l’ANR a décidé d’accompagner l’effort national de recherche pour endiguer l’épidémie, avec un certain nombre d’appels à projets dédiés à la crise sanitaire et au soutien aux recherches.

La crise sanitaire a considérablement modifié le fonctionnement de l’agence et des laboratoires. L’ensemble des personnels de l’agence, mis en télétravail, se sont totalement mobilisés pour assurer la continuité de la mise en œuvre du plan d’action 2020. Cette mobilisation a conduit à adopter, dès l’annonce du premier confinement, des mesures exceptionnelles pour minimiser l’impact de la crise sanitaire sur l’activité des laboratoires et les processus de sélection. Nous avons fait évoluer le calendrier des appels, prolongé systématiquement de six mois les projets, reporté la tenue des comités d’évaluation qui se sont finalement tenus en septembre en format à distance. Nous avons, pour un conventionnement plus rapide, annoncé les résultats au fil de l’eau et nous avons décalé l’ouverture de l’appel à projets générique, le grand appel annuel de l’ANR, ainsi que l’ANR Tour.

Depuis le début de la crise, l’agence n’a pas raisonné en termes d’évolution organisationnelle mais plutôt en termes de capacité d’adaptation avec une mise en mode « projets » et le lancement d’actions spécifiques en cas de besoin. L’ANR a montré sa capacité à répondre aux grands enjeux sociétaux avec différents appels : le Flash Covid-19, la recherche-action Covid-19, l’appel Résilience. L’ANR a également mobilisé ses compétences en développant de nouveaux partenariats financiers pour ces appels avec différents opérateurs publics, des fondations, des régions dont la région Grand Est et d’autres établissements publics. L’ANR a ainsi démontré son agilité pour assurer complètement ses missions en matière thérapeutique, notamment avec les mesures d’urgence et les actions scientifiques spécifiques.

En dehors de la crise sanitaire, l’actualité 2020 de l’agence a été portée par l’élaboration du prochain contrat d’objectifs et de performance 2020-2025 qui fait suite à celui de 2016-2019 et à l’évaluation du Haut conseil de l’évaluation de la recherche et de l’enseignement supérieur (Hcéres). La signature avec la tutelle est prévue le 26 avril.

La loi de programmation de la recherche promulguée le 24 décembre 2020 et le plan de relance renforceront considérablement les moyens de l’ANR dès 2021.

M. Philippe Latombe, rapporteur. La programmation prévue au départ a-t-elle été modifiée ? Comment rattrapez-vous l’éventuel retard provoqué par la crise ?

Mme Martine Garnier. L’ANR a réagi très rapidement et redéfini un calendrier de façon à ne pas impacter le cycle annuel de son appel générique et de son plan d’action de façon générale. Cette adaptation a permis de conserver et de suivre le plan d’action tel qu’il était prévu.

M. Philippe Latombe, rapporteur. Où en sommes-nous sur l’Intelligence artificielle par rapport au rapport de M. Cédric Villani de 2018 ?

Mme Martine Garnier. L’Intelligence artificielle est un enjeu majeur dont Frédéric Precioso est le responsable scientifique à l’ANR, aussi bien en ce qui concerne les grands programmes d’investissement de l’État que sur les autres actions menées au titre du budget d’intervention.

M. Frédéric Precioso, responsable scientifique « Intelligence artificielle » à l’agence nationale de la recherche (ANR). Le programme des instituts 3IA est financé sur le PIA3. En avril 2019, un jury international a sélectionné quatre sites candidats à être labellisés « institut 3IA ». Ces établissements se sont immédiatement mis au travail puisque, en septembre 2019, les quatre instituts 3IA étaient constitués et fonctionnaient. Il faut souligner que, du fait de la complexité de ces nouveaux instruments et de la diversité des consortiums impliqués, le conventionnement a été finalisé avec l’État en juillet 2020 ce qui n’a pas empêché les quatre instituts de fonctionner dès septembre 2019.

Nous arrivons à mi-parcours et, comme prévu dans le programme initial, les quatre instituts produiront à l’automne 2021 un document de synthèse de leurs deux premières années d’activité. À la rentrée 2022, le même jury international se réunira pour évaluer les réalisations accomplies et ce, malgré la crise.

Le budget actuellement alloué aux quatre instituts se monte environ à 75 millions d’euros et une dotation supplémentaire pourra être accordée si le jury international considère que les objectifs ont été atteints.

Je tiens à signaler que l’État et les différents organismes décideurs ont assoupli quelque peu certaines règles de constitution des 3IA du fait de la crise sanitaire et de la difficulté économique pour certains partenaires qui s’étaient initialement engagés. La crise modifie surtout les calendriers d’objectifs chiffrés mais n’impacte pas l’ampleur des 3IA. Les conséquences concernent par exemple l’exigence d’avoir atteint 33 % du budget financé par des industriels avec tel pourcentage d’apport en cash…

Les instituts 3IA sont financés à 33 % par l’État, à 33 % par des partenariats industriels et à 33 % par les établissements publics engagés et éventuellement les collectivités territoriales.

L’ANR, accompagnée de la mission IA constituée de l’institut national de recherche en informatique et en automatique (Inria) comme coordonnateur et de représentants du MESRI, est allée rendre visite physiquement à deux sites en septembre, entre deux périodes de confinement, puis virtuellement pour les deux derniers sites du fait de la deuxième phase de confinement. Nous avons pu constater les avancées réalisées malgré la crise, souvent même au-delà de ce qui était attendu. Le constat est donc très positif. En particulier, l’installation des instituts dans leur écosystème et le lancement de nombreux projets collaboratifs entre les établissements académiques et les partenaires privés sont effectifs.

Un des grands volets des 3IA est leur contribution à la formation. Vous mentionniez le rapport de M. Cédric Villani qui prévoyait, parmi ses objectifs, de doubler d’ici quatre ans le nombre de diplômés en IA. Les instituts 3IA se sont mis à l’œuvre et, en particulier, un certain nombre de formations continues, en direction des partenaires industriels, sont déjà en place et actives. Du point de vue de la formation, les objectifs sont donc en passe d’être atteints.

Un autre objectif lors de la création des 3IA était de construire des hubs du maillage français en IA et que ces sites phares soient visibles à l’international et au niveau européen. C’est déjà le cas puisque, lors de l’appel à projets européen de 2020 pour la création de quatre centres d’excellence européens en IA, chacun des 3IA fait partie de l’un de ces quatre centres. Ils ont donc été immédiatement reconnus et sont bien visibles.

Notons que le modèle français a essaimé au niveau européen puisque, à la suite de la création des 3IA en France, l’Allemagne par exemple a créé cinq centres de machine learning ce qui couvre une partie de l’IA. Des discussions sont en cours avec l’Italie : nous avons rencontré en 2019 les instances du ministère italien de la recherche et ils mènent des réflexions pour créer quelques grands centres en IA selon le modèle français.

Plus largement, il existe d’autres structures financées dans des programmes nationaux, comme des chaires IA, et des programmes doctoraux. Les instituts 3IA s’appuient en effet, selon les instituts, sur une collectivité d’une trentaine ou d’une quarantaine de chaires d’excellence en IA. En plus de ces quatre grands centres, l’État a souhaité mailler plus précisément le territoire en finançant des chaires en IA. Ces chaires se construisent autour d’une personnalité et de son équipe. L’État finance également un programme de contrats doctoraux en IA. Sur 29 programmes doctoraux proposés, 22 ont été retenus qui maillent le territoire. Sur 170 candidatures en chaire IA, 43 ont été retenues, là aussi de façon à mailler le territoire. Le réseau des sites en IA se met donc en place et des actions des 3IA envers un certain nombre de thèses dans leur territoire commencent déjà. Le maillage voulu dans le rapport de M. Cédric Villani est donc en cours de réalisation, de façon efficace.

M. Philippe Latombe, rapporteur. Le fait d’avoir lancé ces actions permet-il une attractivité forte dans le domaine ? Cela permet-il d’attirer les talents plutôt que de les voir partir dans le privé ?

M. Frédéric Precioso. Une des actions immédiates des 3IA, qui perdure pendant leurs deux premières années d’existence, est l’attractivité à l’international, puisque chacun des quatre sites 3IA a réussi à attirer sur certains de ses postes des chercheurs internationaux. Nous avons donc fait revenir des gens des États-Unis ou d’autres pays européens. C’est un vrai succès, aussi bien en ce qui concerne la visibilité que le fait d’attirer des talents extérieurs.

Un certain nombre de talents vont toujours vers l’industrie, vers les grands acteurs des technologies en IA comme les GAFAM, mais pas seulement. Nombre des 43 chaires IA citées précédemment sont détachées, pour partie voire totalement, chez des industriels français tels que Safran, Valeo ou Criteo, donc nourrissent le tissu industriel français dans ce domaine.

En ce qui concerne l’aspect recherche, cette perméabilité entre le monde académique et le monde industriel n’est pas forcément négative et peut même être positive, puisque la plupart de ces collègues continuent à garder des liens forts avec leurs anciennes institutions académiques ou y restent à temps partiel. Ils continuent donc d’établir des collaborations de projets de recherche entre leur nouvelle entreprise et leur ancien employeur académique. Du point de vue de l’activité de recherche, retirer les trois cadres d’une équipe de recherche pour qu’ils aillent dans l’industrie oblige évidemment le reste de l’équipe à se réorganiser. Le coût est certes non nul pour l’établissement, mais cela ne coupe pas les liens. Pour la formation, c’est en revanche particulièrement impactant puisque ces collègues n’enseignent plus ou seulement très peu. Toutefois, les chaires IA hors institut ainsi que les chaires IA dans les instituts ont un volet d’enseignement associé à la chaire. Les titulaires de la chaire doivent enseigner ce qui signifie que toutes les chaires d’excellence dans les 3IA ou hors 3IA qui n’étaient pas enseignants-chercheurs auparavant contribueront à la force d’enseignement.

Nous sommes très loin de pouvoir couvrir les besoins : la demande est forte puisque ce domaine attire énormément, que le milieu industriel est très intéressé par monter en compétences sur ces thématiques. L’objectif du rapport de M. Cédric Villani de doubler le nombre de diplômés en IA, tous publics confondus, à trois ou quatre ans est compliqué à atteindre sans l’accompagner de vraies créations de postes, d’un vrai soutien par des postes d’enseignants dans ces thématiques. Nous manquons cruellement d’enseignants-chercheurs en informatique et en mathématiques appliquées pour soutenir la demande très importante, croissante, sur la thématique de l’IA.

Je parle de l’IA parce que je suis à mi-temps responsable de l’IA à l’ANR mais j’effectue mon autre mi-temps comme professeur à l’université de Côte d’Azur. J’enseigne, je mène des projets de recherche, j’encadre des étudiants et je vois le besoin accru de recrutement d’enseignants. Je pense que mes remarques sont aussi valables pour le futur plan quantique en cours de mise en place.

Toutes ces grandes stratégies sont très positives et contribuent à la souveraineté nationale mais il faut, si nous voulons construire et renforcer un domaine scientifique, aussi bien pour le milieu industriel que pour le milieu académique, l’accompagner du soutien d’enseignants-chercheurs pour que des enseignants soient présents devant les étudiants.

Mme Martine Garnier. Dans les stratégies d’accélération, que ce soit sur la cybersécurité ou les technologies quantiques, le pilotage « programme et équipements prioritaires de recherche » (PEPR) contient un volet économique, un volet recherche, mais également un volet formation puisqu’il est indispensable que ce volet formation soit développé et soit totalement partie prenante de ces stratégies d’accélération.

Je signale aussi que, dans la formation aux compétences numériques, l’une des quatre stratégies d’accélération porte sur « Enseignement et numérique ». Le centre national de la recherche scientifique (CNRS), l’Inria et l’université d’Aix-Marseille (AMU) ont été désignés comme pilote de ce programme prioritaire de recherche avec une dotation de 77 millions d’euros.

L’ANR sera également opérateur d’un appel à manifestation d’intérêt sur des démonstrateurs numériques dans l’enseignement supérieur. Afin de soutenir cette transformation numérique, l’État a décidé d’accompagner un ensemble d’établissements représentatifs de la diversité de l’enseignement supérieur français dans toutes ses dimensions. Il s’agit d’expérimenter toutes les dimensions de la transformation numérique en vraie grandeur, dans une nouvelle approche globale. Cela concerne la transformation des cursus, les questions d’équipements, les questions de formation des enseignants et des étudiants, le renforcement des équipes d’appui et d’accompagnement des enseignants, la mise à disposition de ressources pédagogiques, de plateformes, d’outils ainsi que la politique de vie étudiante, l’amélioration des usages, la réussite des étudiants, le bien-être des enseignants… L’objectif de cet appel à manifestation d’intérêt est d’identifier et d’accompagner un certain nombre d’établissements d’enseignement supérieur qui seront prêts à devenir les démonstrateurs et les pilotes de cette transformation.

M. Philippe Latombe, rapporteur. Le processus est lancé depuis deux ans maintenant. Pensez-vous avoir identifié les angles morts de ce processus ou pensez-vous qu’il couvre bien, comme prévu au départ, la totalité du champ visé ? Faut-il procéder à des adaptations, au-delà des points dont vous avez parlé sur la formation ?

Mme Martine Garnier. Nous avons beaucoup parlé de l’enseignement supérieur mais il est important de couvrir l’ensemble de la chaîne en termes d’éducation et de formation. Même si nous sortons un peu du domaine de compétences de l’ANR, nous pouvons signaler que l’organisation des enseignements de la voie générale du lycée s’est profondément transformée récemment avec l’introduction des sciences du numérique et technologies (SNT) en classe de seconde.

Ce tronc commun permet de donner à l’ensemble des élèves des voies générale et technologique une introduction au monde numérique. L’objectif est vraiment important. Il s’agit de donner les clés et les principales composantes du numérique et de la technologie pour comprendre les enjeux fondamentaux et les problématiques actuelles. Nous revenons ainsi au thème de la souveraineté numérique. Je pense qu’elle passe aussi par la compréhension par les jeunes générations des enjeux du numérique et de leur identité numérique.

Parmi les thèmes abordés, beaucoup sont liés à ces questions de souveraineté numérique. Les ressources proposées dans Class’Code abordent Internet, le web, les réseaux sociaux, les données structurées et leur traitement, des questions de localisation, de cartographie et de mobilité. Une nécessaire sensibilisation est effectuée en mettant l’accent sur la dépendance de l’utilisateur à ces systèmes souvent assez opaques et hors du contrôle de l’utilisateur.

Cet enseignement se poursuit en première et terminale, sous le nom « Numérique et science informatique ». Les élèves doivent choisir trois spécialités parmi les douze offertes et cet enseignement propose aux lycéens de leur expliquer ce qu’il se passe dans leur smartphone, dans leur ordinateur, comment les données sont codées, transmises.

Il est important d’expliquer aux jeunes, dès le lycée, ces grands domaines du traitement et de la représentation des données, des algorithmes et langages de programmation, des machines, des systèmes d’exploitation. La mise en place de cet enseignement permettra aussi, je pense, de nourrir le vivier des étudiants de demain, avec de meilleures clés peut-être.

M. Frédéric Precioso. Le réseau créé par les quatre 3IA et le maillage des chaires IA hors institut couvrent assez bien non seulement le territoire mais aussi les thématiques. Les actions ciblées du type cybersécurité ou IA quantique qui feront partie du plan quantique viendront renforcer et densifier ce maillage. Il peut évidemment être intéressant d’avoir des appels vers d’autres chaires, de poursuivre cet effort, mais l’idée initiale est bien en train de se mettre en place et la diversité des activités de recherche sur le territoire français fait que nous parvenons à n’oublier aucun domaine. Nous discutons de ces questions au sein de l’ANR, lorsque l’État nous interroge sur nos idées quant aux différents soutiens que nous pourrions apporter, par exemple de l’IA vers les autres sciences, vers les sciences humaines et sociales…

L’idée initiale ne demande qu’à s’ancrer profondément dans le territoire et la dynamique créée autour des 3IA fait que certains sites qui n’avaient pas été sélectionnés ou même n’avaient pas concouru pour l’appel 3IA ont créé des instituts ou des centres de recherche en IA. Je pense au Sorbonne center for artificial intelligence (SCAI) par exemple autour de la Sorbonne à Paris, à l’institut DATAIA à Saclay, à un centre d’IA près de Strasbourg dans le plan IA Grand Est. Des intentions ont été annoncées autour de Marseille : le projet a pris un peu de retard à cause du covid mais un centre d’IA s’installera à Marseille. Bordeaux suit le même chemin. La volonté de l’État de lancer ce maillage en France essaime et fonctionne. Nous pouvons faire confiance à la communauté scientifique française pour s’organiser de façon à continuer dans ce sens. Je suis assez serein sur le fait qu’il n’existe pas particulièrement de zone d’ombre et qu’il soit éventuellement facile de combler les zones d’ombre qui pourraient apparaître dans les années à venir par des appels ciblés comme l’ANR a l’habitude de le faire de façon très efficace.

Autant pour les chaires que pour les instituts, ce sont des programmes prévus pour quatre ans. Il sera utile de décider et d’annoncer relativement rapidement la prolongation de ces structures. Elles engagent beaucoup de partenaires industriels qui ont des objectifs et des visions à plus long terme que quatre ans. Nous sommes déjà à mi-parcours. Les partenaires industriels des sites 3IA souhaitent voir plus loin qu’à deux ans et il est important, lors de la construction d’un tel maillage, d’envoyer des signaux sur la pérennisation de cette structuration.

Je parle du plan IA qui est de mon ressort, mais il en sera de même pour le plan quantique. Il faut avoir une vision à moyen et long terme pour stabiliser les structures que nous avons fait émerger et accompagner leur pérennisation par une pérennisation du soutien.

M. Philippe Latombe, rapporteur. Votre optimisme me rassure et je prends volontiers l’idée de donner une visibilité à moyen et long terme, aussi bien sur l’IA que le quantique.

Au-delà de l’IA et du quantique, devons-nous investir d’autres sujets pour préparer notre souveraineté de demain ? Voyez-vous émerger d’autres domaines sur lesquels nous devons tout de suite nous pencher pour ne pas prendre de retard ? Nous avons un peu la fâcheuse habitude de prendre du retard et, ensuite, de « cavaler derrière le char ».

Mme Martine Garnier. Vous nous avez au début demandé notre vision de la notion de souveraineté numérique. En considérant de façon assez classique qu’il s’agit de la capacité d’un État à asseoir sa stratégie économique et industrielle, à protéger ses citoyens et sa population, à préserver son modèle social et ses valeurs par la maîtrise des technologies clés, la maîtrise des flux de données, des réseaux et des infrastructures critiques, nous avons à traiter le grand sujet de l’Intelligence artificielle mais aussi les technologies quantiques liées aussi aux notions de cybersécurité. L’ANR contribue par la diversité de ses actions de soutien au renforcement de l’écosystème et c’est vraiment là le point clé. Cet écosystème est essentiel à la souveraineté numérique.

Le plan d’action de l’ANR est structuré en quatre composantes :

– la composante recherche et innovation ;

– la composante d’actions spécifiques, telles que des défis, dont le challenge en cybersécurité ;

– la composante de la construction de l’espace européen de la recherche et l’attractivité internationale de la France ;

– la composante de l’impact économique de la recherche et de la compétitivité avec des instruments tels que des structures réunissant un laboratoire et une entreprise ou des chaires industrielles ou, en partenariat avec l’agence de l’innovation de défense, des programmes tels que le dispositif d’accompagnement spécifique des travaux de recherche et d’innovation de défense (ASTRID) et ASTRID maturation.

Les enjeux de la cybersécurité sont essentiels pour renforcer notre souveraineté numérique. L’enjeu est double au plan national : conserver notre liberté d’appréciation, de décision et d’action en cas de cyberattaque et préserver nos domaines de souveraineté traditionnels. Cela passe par le développement d’une filière industrielle nationale ou européenne forte, compétitive dans le domaine des produits et services de cybersécurité, mais aussi par une recherche d’excellence pour préparer les futurs outils. L’anticipation est également essentielle dans la souveraineté numérique.

La cybersécurité a été identifiée comme une priorité claire du PIA 4, avec un certain nombre d’initiatives et notamment la stratégie d’accélération en cours de lancement. L’objectif de cette stratégie d’accélération est, en structurant cette filière, d’atteindre un chiffre d’affaires de 25 milliards d’euros d’ici 2025 et de doubler le nombre d’emplois.

Un PEPR est également prévu dans le PIA 4 pour un montant de 65 millions d’euros. Il permettra de financer des actions pour une période de six ans. L’enjeu est de renforcer la coordination des actions de recherche et d’innovation, d’éviter tout risque de travail « en silos ». Il ne s’agit pas d’éparpiller les moyens mais de les concentrer pour développer de nouveaux outils de cybersécurité sur toute la chaîne, c’est-à-dire aussi bien sur les aspects hardware que software, en mathématiques mais aussi en sciences humaines et sociales. Il s’agit de faire travailler l’ensemble des acteurs provenant de disciplines différentes sur des plateformes technologiques, en étroite collaboration avec les acteurs industriels et étatiques pour garantir la performance et la pertinence des outils développés.

Depuis 2006, l’ANR soutient de plus la recherche en cybersécurité de façon très interdisciplinaire par son budget d’intervention avec un programme dédié « Concepts, systèmes et outils pour la sécurité globale ». En 2014, une réorganisation du programme en cohérence avec la stratégie nationale de la recherche a pris en considération un ensemble de problèmes sociétaux avec le défi « Liberté et sécurité de l’Europe, de ses citoyens et résidents ». Les défis sociétaux ont maintenant été abandonnés dans la programmation ANR au profit d’une recherche plus exploratoire.

Dans notre appel à projets générique, l’axe « Sécurité globale, cybersécurité » demeure, avec une notion très régalienne de la sécurité. Les projets doivent se positionner par rapport à des thèmes tels que la liberté et la citoyenneté dans le cyberespace, la sécurisation des systèmes d’information, la lutte contre le cyberterrorisme. Cela sous-entend de mobiliser des domaines de recherche en lien avec la protection de dispositifs et des systèmes d’information, les réseaux physiques, les équipements et les objets. Le spectre sur lequel se positionnent les projets déposés au titre de cet axe est très large. Entre 2005 et 2020, nous avons financé dans le domaine de la cybersécurité une centaine de projets ayant un technology readiness level (TRL) compris entre 1 et 4 pour un montant de 55 millions d’euros environ, hors PIA.

M. Philippe Latombe, rapporteur. Vous financez donc des projets à la fois dans le PIA et hors PIA.

Mme Martine Garnier. Nous finançons des projets sur le budget d’intervention. En 2020, le budget d’intervention de l’ANR s’est monté à 781 millions d’euros, dont 620 millions d’euros dédiés aux quatre composantes du plan d’action que j’ai présentées précédemment et 471 millions d’euros pour le grand appel à projets générique constitué de 50 axes thématiques. Au titre de l’année 2020, l’ANR a financé sur l’ensemble du plan d’action 1712 projets soit une progression de 122 projets et une croissance budgétaire de 55 millions d’euros. Nous avons financé dans l’appel générique 1229 projets sur l’ensemble du spectre thématique de l’ANR. L’ANR est une agence généraliste, mais elle ne finance pas la recherche sur le spatial et la lutte contre le cancer.

M. Philippe Latombe, rapporteur. Comment nous positionnons-nous, à l’échelle européenne, par rapport à nos concurrents géostratégiques, Américains d’un côté, Chinois de l’autre, Russes ? Ce que nous mettons en place nous permettra-t-il de rester dans la course ou même d’être leaders ? Sommes-nous en train de nous faire distancer sur certains sujets ?

M. Frédéric Precioso. L’Europe est très active sur cette question de souveraineté européenne, en particulier autour du numérique et de l’IA. Elle se positionne comme une troisième voie par rapport à la Chine et aux États-Unis, avec une autre approche de la préservation de la confidentialité des données, de la vie privée. De ce point de vue, je pense que c’est une très bonne stratégie pour ne pas être en retard. En IA, en dehors de la Chine et des États-Unis, le Canada est un très bon concurrent qui se positionne sur les mêmes valeurs que l’Europe.

L’Europe met en place des infrastructures pour rester dans la course sur l’IA mais aussi sur la donnée, avec en particulier le projet Gaïa-X qui est une très importante action collective pour le partage des données au niveau européen et les supercalculateurs qui permettront de traiter ces données. En France, le supercalculateur Jean Zay opéré par le grand équipement national de calcul intensif (GENCI) est le deuxième supercalculateur en Europe.

Le choix de l’Europe est tout à fait pertinent pour se positionner sur un autre axe que la Chine et les États-Unis, ce qui nous permet de préserver la population européenne de certaines nuisances et certains défauts de ces technologies et, en même temps, de nous prémunir contre les concurrents qui ne joueraient pas le jeu. J’ai par exemple été membre du comité d’analyse des développements des dispositifs médicaux et de santé intégrant des technologies en IA, parmi les trente experts qui participaient à la création de règles de régulation et d’évaluation de ces dispositifs. C’est une façon de rester dans la course et de garantir que ce qui sera mis au service de nos concitoyens est conforme aux valeurs de l’Europe. Cette voie prise par l’Europe pour rester dans la course me paraît donc très efficace.

Lorsque vous voulez un système de reconnaissance faciale, vous pouvez refuser un modèle, si l’accord des millions de personnes utilisées pour construire le modèle ne vous est pas fourni avec le système, ce qui vous met à l’abri de solutions qui n’ont pas forcément respecté les valeurs que nous souhaitons défendre en Europe. De la même façon, dans le domaine médical, pouvoir refuser un système qui prédit la présence d’une maladie sans avoir obtenu l’accord des patients dont les données ont été utilisées pour construire l’algorithme, aussi pertinent soit-il, est une façon de se prémunir en Europe. C’est la voie choisie, en s’appuyant sur le Règlement général de protection des données (RGPD) pour mettre des régulations très strictes qui nous prémunissent dans la course et dans le type d’approche, dans les comportements d’utilisation de ces technologies.

M. Philippe Latombe, rapporteur. Ne craignez-vous pas que l’usage dans d’autres pays fasse tache d’huile et que nous importions ces systèmes, malgré ces barrières de protection ?

M. Frédéric Precioso. Les axes sur lesquels il faut être vigilant sont justement ceux qui ouvriraient des brèches dans cette stratégie. Par exemple, d’importantes avancées sont actuellement faites dans le domaine du traitement du langage et de l’analyse du langage naturel. De nouvelles solutions sont proposées chaque semaine, en particulier aux États-Unis. Le modèle qui est l’état de l’art actuel se trouve aux États-Unis et il est tellement conséquent qu’il est impossible de l’exporter. Il ne peut pas être téléchargé comme un logiciel pour être utilisé en France, car il nécessite tellement de ressources que la seule façon de l’utiliser est d’exporter les documents dans l’entreprise américaine qui a développé le système pour les faire traduire ou analyser. Nous voyons donc tout de suite qu’un problème de souveraineté numérique européenne se pose.

Il faut que la France et l’Europe investissent cette thématique, puisque, sans autre solution que ce modèle, celui-ci deviendra l’unique solution pour analyser des documents ou les traduire dans des dizaines de langues. Microsoft a passé un contrat voici deux mois pour que ce logiciel soit le logiciel de traduction intégré à la panoplie de logiciels Microsoft. Cela signifie que, lorsque vous traduisez un document dans votre logiciel Microsoft préféré, il sera envoyé à l’entreprise américaine et la traduction vous sera renvoyée.

Cette régulation et cette approche basées sur des valeurs de protection des données et de protection du citoyen doivent être étudiées attentivement. Nous devons lancer des programmes ou des actions pour soutenir la recherche, dès qu’une avancée a lieu dans un pays qui ne partage pas ces valeurs sur le traitement de la donnée, afin pouvoir proposer des alternatives crédibles.

M. Philippe Latombe, rapporteur. C’est donc la question des valeurs qui fera la différence.

M. Frédéric Precioso. C’est la stratégie européenne et elle me semble bonne.

Mme Martine Garnier. L’Europe a des partenaires pour renforcer cette approche, comme le Canada déjà cité. Nous avons aussi des accords de collaboration avec le Japon, justement parce que nous partageons un certain nombre de valeurs, telles que le développement du lien de confiance en respectant la vie privée.

M. Philippe Latombe, rapporteur. Pensez-vous que cette vision est partagée par l’intégralité de la communauté, c’est-à-dire à la fois les scientifiques, les politiques, les dirigeants d’entreprise ? Est-ce partagé par tous les pays au sein de l’Europe ? Existe-t-il des personnes qui ne veulent pas de ces valeurs ou qui réclament plus de pragmatisme ?

M. Frédéric Precioso. Les valeurs sont partagées, mais il faut être attentif à ne pas laisser des brèches s’ouvrir, en soutenant et en proposant des alternatives. Si la France et l’Europe ne sont pas capables d’avancées sur des solutions de traitement de la langue, il sera compliqué d’imposer aux industriels européens de ne pas recourir à une solution et donc peut-être de réduire leur compétitivité par rapport à la concurrence internationale.

Mme Martine Garnier. Pour que l’ensemble de l’écosystème s’y retrouve, il faut un soutien qui arrive actuellement de l’Europe avec un cadre législatif indispensable en cours de mise en place. La Commission européenne a dévoilé sa proposition de Règlement sur la gouvernance européenne des données, le Data Governance Act. Ce texte garantit la confiance en donnant un cadre juridique européen au partage des données, mais doit aussi proposer une véritable base technologique, avec l’objectif d’encourager la circulation des données entre entreprises. Il faut que les entreprises et administrations publiques puissent avoir accès à un maximum de données.

L’initiative franco-allemande Gaïa-X est devenue un projet de cloud européen, mais il faut aussi un cadre législatif pour l’ensemble de la chaîne. Le Data Governance Act sera renforcé par le Digital Services Act et le Digital Market Act.

M. Philippe Latombe, rapporteur. Souhaitez-vous aborder un autre sujet ?

M. Frédéric Precioso. Vous aviez évoqué lors des échanges qui ont précédé cette audition la question de la féminisation. Ce problème est une vraie question pour nos législateurs et législatrices, dans le numérique et plus généralement dans le monde de la recherche, le monde académique et le monde industriel.

L’État et le ministère agissent et c’est donc un sujet dont l’État s’empare. Un très bon rapport de mars 2020 est présent sur le site du MESRI : il fait un état des lieux tout à fait réaliste et pertinent de la situation, sans langue de bois.

Mme Martine Garnier décrivait les actions faites dès le secondaire et parfois même plus tôt pour former les plus jeunes au numérique, pour leur donner le contrôle, la compréhension et la maîtrise du domaine. Dans ces filières toutes récentes, les chiffres de la féminisation sont déjà catastrophiques en seconde, première et terminale puisque 0,9 % de filles s’inscrivent dans ces domaines.

C’est une problématique internationale et c’est une préoccupation européenne dans les échanges que nous avons avec nos partenaires européens. Cela influera aussi sur les contributions de ces domaines technologiques, puisque, si vous excluez la moitié de la population de ces domaines, cela l’exclura aussi des produits et services qui émergeront.

M. Philippe Latombe, rapporteur. Je partage avec vous ce constat. En quoi est-ce du domaine législatif ? Faut-il que nous fassions comme pour la parité en politique ou dans les grandes entreprises ? Il s’agit d’un problème qui vient de la formation et il faut que nous ayons des politiques publiques de très long terme pour expliquer aux jeunes filles qu’elles ont la même capacité que les jeunes garçons à faire les mêmes études.

M. Frédéric Precioso. Expliquer aux jeunes filles n’est pas la bonne stratégie. Les études menées sur cette question montrent que recruter une enseignante dans une filière dans laquelle les filles ne s’inscrivaient pas fait augmenter considérablement le pourcentage de filles qui s’inscrivent dans cette filière. C’est l’effet d’exemple. Il faut travailler sur l’équilibrage des populations dans ces métiers, afin que des femmes servent d’exemple. Si vous êtes étudiante et que vous n’avez aucune professeure ou très peu de femmes dans les nouvelles filières créées pour la nouvelle agrégation d’informatique qui apparaîtra en 2022, les jeunes filles ne s’inscriront pas.

En ce qui concerne la recherche, le CNRS a, comme le ministère, publié un rapport qui est aussi très intéressant. Si une femme a moins de chances d’être promue dans sa carrière, la carrière est moins attractive. Lorsque des doctorantes finissent leur thèse et voient la place faite aux femmes au sein des laboratoires, elles préfèrent aller dans d’autres domaines où elles ont l’impression qu’elles auront une plus grande facilité à s’épanouir.

Le CNRS et en particulier l’institut des sciences de l’information et de leurs interactions (INS2I), qui concerne directement les sciences du numérique, a une page dédiée sur laquelle il indique l’index d’avantage masculin, c’est-à-dire une mesure de l’avantage qu’apporte le fait d’être un homme ou une femme dans la promotion de carrière. Cette métrique est intéressante à suivre. Les chiffres de 2020 montrent que l’index d’avantage masculin est de 1,33. Un homme a donc 33 % de chances de plus d’être promu qu’une femme. Il existe de telles métriques dont il faut s’emparer pour se donner des objectifs et améliorer la situation.

Mme Martine Garnier. L’ANR a mis en place un plan d’action « Égalité 2020-2023 », qui formalise un certain nombre d’engagements. D’après l’analyse réalisée sur la période 2015-2020, dont le titre est Le genre dans les projets ANR, les projets sont portés en grande majorité – 70 % – par des hommes et, en mathématiques et sciences du numérique, le pourcentage de femmes tombe à environ 17 %, ce qui montre à quel point le chemin à parcourir est encore long. En mathématiques et sciences du numérique, les femmes sont vraiment beaucoup moins nombreuses, avec une représentation à moins de 20 %.

Nous avons mis en œuvre plusieurs actions, dont la recherche systématique de parité dans les comités d’évaluation scientifique, la formation des présidents et présidentes de comité. Nous avons aussi introduit le curriculum vitae narratif qui permet de renseigner les interruptions de carrière. Cette année, sur les dix comités d’évaluation opérés par le département « Mathématiques et numérique », cinq sont présidés par des femmes. La parité est donc totale.

M. Philippe Latombe, rapporteur. Je suis preneur des différents éléments chiffrés dont vous disposez car nous aurons une séquence sur la formation et l’égalité. Si vous voulez bien y contribuer en dehors de l’audition d’aujourd’hui, nous en prendrons connaissance avec plaisir.

Mme Martine Garnier. Bien sûr et nous avons à l’ANR une référente « Genre » qui participe notamment aux projets européens Gender-Net et Gender-SMART. Elle pourra vous donner des éléments complémentaires.

Je termine sur nos partenariats technologiques avec les États membres avec une coopération très importante qui comporte un volet souveraineté numérique : la coopération franco-allemande. À l’issue du sixième forum de la coopération franco-allemande en recherche en juin 2018, nos deux ministères ont signé une déclaration d’intentions commune dont l’un des objectifs est « la recherche et l’innovation au service de la souveraineté technologique dans un monde numérique ». Dans ce cadre, deux appels bilatéraux ont été lancés par les deux ministères. Ils sont opérés par l’ANR en France, par l’agence VDI/VDE-IT (association des ingénieurs et fédération des industries de l’électrotechnique, de l’électronique et de l’ingénierie de l’information) et par l’agence spatiale DLR (Deustches Zentrum für Luft- und Raumfahrt) en Allemagne. Le premier, lancé en 2019, porte sur la cybersécurité et l’autre, en Intelligence artificielle, est piloté par Frédéric Precioso.

L’appel conjoint sur la cybersécurité avait pour thème les technologies protectrices des données personnelles. Huit projets ont été retenus et financés pour un montant de trois millions d’euros pour les participants français. Cet appel réunit, de part et d’autre, une structure académique et une entreprise. Les partenaires sont donc systématiquement un académique et une entreprise français, un académique et une entreprise allemands.

L’appel en intelligence artificielle a lieu au titre de la déclaration d’intentions conjointe sur la création des réseaux de recherche et d’innovation en intelligence artificielle. Il visait à encourager les collaborations de recherche franco-allemandes, notamment dans les domaines applicatifs suivants : les transports et la mobilité, la logistique et les services, l’énergie et en particulier l’énergie renouvelable, l’environnement, les ressources, les technologies d’industrie et de production, la santé, la robotique.

L’appel portait sur deux types de projets. Le premier type est constitué de projets à quatre ans qui unissent deux établissements d’enseignement supérieur et de recherche, l’un en Allemagne et l’autre en France, pour renforcer la collaboration franco-allemande en matière de recherche en IA. Le deuxième type concerne des projets regroupant des partenaires industriels et académiques, français et allemands, pour la recherche et le développement dans des secteurs applicatifs cités précédemment.

Il faut souligner que ce dernier appel a suscité une très forte participation. 152 projets ont été déposés et, sur les 145 propositions éligibles, 21 ont pu être financées pour un montant global de 12 millions d’euros. Nous voyons donc le dynamisme de cette coopération franco-allemande. Une seconde édition de l’appel est en cours de discussion entre les deux ministères.

M. Frédéric Precioso. Il est important de souligner que les chiffres sur l’égalité entre femmes et hommes sont disponibles sur le site de l’INS2I, parce que cet institut s’est emparé de cette problématique, ce qui n’est pas le cas de tous les établissements de recherche en France. J’ai pu me référer à ces chiffres parce qu’ils les affichent et il faut le voir comme un effort louable plutôt que comme une critique.

M. Philippe Latombe, rapporteur. Je ne l’avais pas considéré comme une critique, mais la précision est importante.

Audition, ouverte à la presse, de Mme Raphaëlle Bertholon, secrétaire nationale à l’économie, l’industrie, le logement et le numérique, et de M. Nicolas Blanc, délégué national au numérique, de la confédération française de l’encadrement–confédération générale des cadres (CFE-CGC) (20 avril 2021)

Présidence de M. Jean-Luc Warsmann, président.

M. le président Jean-Luc Warsmann. Chacun connaît la confédération française de l’encadrement-confédération générale des cadres (CFE-CGC), syndicat fondé en 1944, représentatif au niveau national interprofessionnel. Nous accueillons Mme Raphaëlle Bertholon, secrétaire nationale, chargée de l’économie, de l’industrie, du logement et du numérique, et M. Nicolas Blanc, délégué national au numérique, de ce syndicat.

Vous vous intéressez au sujet de la souveraineté numérique. Vous nous avez d’ailleurs adressé une contribution écrite au titre de la mission d’information, ce dont nous nous remercions, et à travers vous, les personnes de votre organisation qui y ont contribué.

Nous attendons de cette audition d’aborder, en particulier, les aspects socio-économiques de la souveraineté numérique : les enjeux de formation, de conditions de travail, de féminisation d’un secteur numérique qui reste aujourd’hui largement masculin. Nous sommes heureux de pouvoir vous entendre.

M. Philippe Latombe, rapporteur. À titre liminaire, je souhaiterais soulever trois sujets pour introduire notre échange.

Le premier concerne votre approche de la notion de souveraineté numérique, question véritablement rituelle lors de nos auditions, et qui procède de la grande diversité de définitions qui peuvent exister de ce concept. Comment la définissez-vous ? Quel regard portez-vous sur sa montée en puissance dans le débat public en France et en Europe ? De façon complémentaire, je souhaiterais que vous nous dressiez un état des lieux de nos forces et de nos faiblesses dans ce domaine afin que nous revenions ensemble sur les constats que vous avez posés dans votre contribution.

Le second sujet concerne la formation. Il nous intéresse au premier chef puisqu’il n’existe pas de souveraineté numérique sans compétences. Comment jugez-vous notre capacité à former les salariés à ces savoir-faire parfois très évolutifs ? Selon vous, ces compétences sont-elles suffisamment disponibles dans certaines filières, telles que les télécommunications ?

D’une façon générale, comment percevez-vous la numérisation rapide du travail qui est intervenue pendant la crise sanitaire, avec un recours massif au télétravail, lequel présente des avantages, certes, mais peut être aussi source de difficultés pour certains salariés ?

Enfin, quelles propositions formuleriez-vous au sujet de la souveraineté numérique ?

Afin de mener à bien cette mission d’information, nous avons fait le choix d’adopter une approche pragmatique et opérationnelle. C’est pourquoi il est important pour nous que vous nous indiquiez les points qui vous sembleraient les plus pertinents à traiter afin d’améliorer le cadre existant et de renforcer notre autonomie technologique.

Mme Raphaëlle Bertholon, secrétaire nationale de la CFE-CGC, chargée de l’économie, de l’industrie, du logement et du numérique, CFE-CGC Caisse d’Épargne Rhône Alpes. La CFE-CGC s’intéresse déjà depuis de nombreuses années à l’évolution de la numérisation dans le travail. Elle a d’ailleurs initié plusieurs conférences sur le thème de l’Intelligence artificielle. Nous avons rédigé une charte éthique et numérique « RH » afin d’accompagner les salariés sur l’ensemble des questions, notamment éthiques, liées à l’utilisation de leurs données personnelles. Au mois de juin 2020, nous avons postulé à un projet européen, « SéCoIA Deal : servir la Confiance dans l’Intelligence artificielle par le dialogue », qui a récemment démarré. Nous sommes le chef de file de ce projet, avec plusieurs partenaires syndicaux français, notamment l’U2P, et européens. La CFE-CGC est également partie prenante, aux côtés du Mouvement des entreprises de France (MEDEF), dans un engagement de développement de l’emploi et des compétences (EDEC). Tel est le cadre de nos préoccupations et de nos réflexions sur le thème du numérique.

Notre réflexion nous a conduits à véritablement voir le numérique comme un espace à conquérir et à façonner, un petit peu à l’image de la conquête spatiale. Cela signifie qu’il « embarque » l’ensemble des sujets traditionnels de régulation et de réorganisation territoriale. Il s’avère donc extrêmement important de garantir notre souveraineté numérique, c’est-à-dire d’assurer la pérennité de notre développement économique pour les années à venir. Le numérique représente un moteur indispensable à la croissance future. Ce constat renvoie à l’exigence d’assumer des choix politiques, dans le contexte actuel où nous ne sommes pas en situation de force sur le plan technologique.

M. Nicolas Blanc, délégué national au numérique de la CFE-CGC. Je vous remercie de nous avoir permis de porter nos propositions.

L’idée de conquête de territoire est essentielle. La CFE-CGC se positionne sur la notion d’une défense de nos intérêts, tant nationaux qu’européens, afin de protéger nos compétences, nos entreprises, etc. Il importe de conquérir ce territoire-là parce que, actuellement, d’autres acteurs captent cette valeur et il nous appartient de poser un constat clair de cette captation.

Une étude de BearingPoint, publiée dans « Médias et publicité en ligne », en 2018, a montré que ces nouveaux acteurs modifient et bouleversent les équilibres. À titre d’exemple, l’arrivée de la publicité en ligne a capté un transfert massif des investissements de cette nature. Les acteurs historiques, les producteurs de valeur, qui représentent 80 % des contenus, ne perçoivent plus que 25 % de la valeur de cette publicité en ligne. Un puissant déséquilibre s’est créé. En outre, sur la période comprise entre 2010 et 2017, les investissements dans la presse ont diminué de 50 %.

Le capitalisme de surveillance, qui a été mis en avant par Shoshana Zuboff, révèle une véritable bascule. Le monde qui a suivi les évènements du 11 septembre 2001 a généré une captation sans régulation des données, qui a permis de « profiler », au sens commercial. Cela a conféré à la publicité en ligne un avantage comparatif considérable par rapport à l’existant, aux médias traditionnels et à la publicité classique.

En vingt ans, on a laissé se créer sans régulation d’énormes mastodontes, tels que Google qui, en 2020, représentait 87 % des recherches sur Internet aux États-Unis et 92 % des recherches mondiales. Neuf produits de Google (dont les principaux sont Android, Chrome, Gmail et YouTube) comptabilisent plus d’un milliard d’utilisateurs. Ils ont généré en 2019 cent quatre-vingt-deux milliards de dollars de chiffre d’affaires, soit quarante milliards de bénéfice net, et une valorisation boursière de neuf cent quatre-vingt-treize milliards de dollars. Total, l’entreprise française qui a affiché le plus important bénéfice net en 2019, annonçait dix milliards de dollars. Amazon représente entre 65 et 70 % du commerce en ligne aux États-Unis et déjà 20 % en France.

Mme Raphaëlle Bertholon. Ce partage de la valeur rebat complètement les cartes à la fois économiques et sociales. Dans le domaine de la construction automobile, l’arrivée des données répartira la valeur entre le constructeur automobile, la plateforme de données, le fournisseur des capteurs, voire l’assureur. Un nouvel écosystème s’est construit sur la base de ces données et il convient de répartir, de manière correcte, la valeur créée. Cette distribution de la valeur représente un véritable enjeu.

S’agissant de l’emploi, autre véritable enjeu, nous nous orientons vers une polarisation des emplois. La confédération française de l’encadrement souhaite que cette tendance génère des emplois hautement qualifiés. Nous vous avons transmis une note relative au constat que nous avons posé sur la filière télécoms qui, selon des données fournies par l’INSEE et la DARES, a perdu en dix ans 25 % de son poids relatif en effectifs salariés. Ce constat s’inscrit dans les faiblesses de nos secteurs d’activité.

M. Nicolas Blanc. La souveraineté numérique constitue un nouveau territoire à conquérir, c’est-à-dire qu’il est essentiel de disposer d’une infrastructure et des outils indispensables à l’occupation de cet espace numérique. Un déséquilibre s’est créé et il nous appartient de le corriger.

Afin d’acquérir cette nouvelle infrastructure et de maîtriser les données, la régulation européenne et la régulation française permettent de réglementer ce monde dans lequel toute donnée devient une valeur marchande alors qu’initialement elle est une propriété.

Il convient également d’assurer la sécurité. Les attaques cyber se multiplient dans l’ensemble de notre pays. Ce nouveau territoire à conquérir comporte des risques. Comme l’a récemment rappelé M. Guillaume Poupard, la virtualisation des réseaux favorise les risques de cyber attaques. Il nous appartient donc de créer, de gérer et d’assurer cette sécurité. L’Europe a proposé une régulation de la 5G dans laquelle il importe que nous nous inscrivions.

Force est de constater que la situation est très complexe. Nous sommes également acteurs dans le domaine de l’Intelligence artificielle, dans lequel l’Europe a initié une régulation qui commence à se décliner. Il convient également de progresser dans les domaines de la 5G, de la blockchain et de l’informatique quantique ou calcul quantique.

Le constat éclairé posé par la CFE-CGC montre que la France dispose d’atouts. La compétence des ingénieurs français est reconnue. En atteste d’ailleurs l’installation par Facebook d’un centre de recherche sur l’Intelligence artificielle en France. Nous comptons des entreprises du numérique de taille suffisante pour construire les infrastructures : OVH – qui a tenu un rôle important dans GAIA-X, Athos, Thales, etc. Nous disposons de véritables forces industrielles qui nous permettent de construire cette souveraineté, tant à l’échelle française qu’européenne, si ces constructions peuvent s’assembler avec d’autres entreprises.

Notre patrimoine de données est très riche. Le Health Data Hub contient des données de santé qu’il importerait de valoriser.

Notre épargne et notre écosystème financier sont suffisamment solides pour accompagner le développement de l’économie du numérique. Il conviendrait de la valoriser et de la mobiliser pour cette souveraineté numérique qui nous concerne tous. La CFE-CGC estime qu’il est indispensable de sensibiliser l’ensemble des Français, à tous les niveaux, afin qu’ils comprennent l’importance que revêt cette souveraineté.

Nous accusons également des faiblesses. La souveraineté numérique représente un concept très protéiforme qui intègre différents intérêts d’autonomie stratégique au niveau de l’État. Cependant, au niveau interministériel, force est de constater que les logiques de souveraineté diffèrent et plus encore au niveau européen, car chaque pays développe son propre concept de souveraineté numérique. Nous espérons qu’à l’occasion de sa présidence de l’Union européenne, début 2022, la France se posera en acteur dans ce domaine, mais actuellement, il n’existe aucune vision commune européenne de la souveraineté numérique.

Les décideurs publics ne sont pas suffisamment sensibilisés aux forts enjeux économiques nationaux et collectifs de la perte de souveraineté. La puissance publique doit être exemplaire. Nous ne comprenons pas la posture de la banque publique d’investissement (Bpifrance) face au Health Data Hub, à l’hébergement des prêts garantis par l’État (PGE) par Amazon, etc. La souveraineté numérique impose un équilibre.

S’agissant des télécoms, nous constatons un défaut de soutien efficace au développement dans nos territoires.

Les règles de concurrence ne sont pas très claires, notamment vis-à-vis des États-Unis.

Notre puissance financière est très faible en regard des moyens financiers apportés par l’État américain où la Defense Advanced Research Projects Agency (DARPA) est omniprésente. L’Europe s’organise sur l’innovation de rupture, mais nous sommes toujours en rattrapage.

Mme Raphaëlle Bertholon. Forts de ce diagnostic, nous avons formulé un certain nombre de propositions. La première consisterait à sensibiliser les décideurs à ces enjeux par la pédagogie centrée, non seulement sur des conséquences économiques et sociales, que nous avons précédemment mentionnées, de notre perte de souveraineté, mais également sur les évolutions du monde, afin de mieux le comprendre. Par exemple, le fonctionnement des algorithmes modifie considérablement le jeu concurrentiel et il s’avère indispensable de communiquer quant à ces enjeux.

Afin de pallier l’absence de cohérence, il est important également de mettre en œuvre un pilotage et nous proposons de recréer le Commissariat au Plan et de construire un véritable plan de conquête de l’espace numérique et de notre souveraineté numérique, à l’instar de la démarche initiée dans le passé afin d’assurer l’autonomie du pays en matière de techniques d’information (Plan Calcul).

Nous suggérons également de créer un cadre cohérent, avec une régulation adaptée, en organisant un écosystème propice à une mutualisation des technologies, en construisant une infrastructure qui permette de comprendre le fonctionnement des algorithmes, en élaborant une politique de données d’intérêt général efficace qui placera la création de valeur au niveau de l’analyse des données et non plus au niveau de leur détention. Cet enjeu est très important dans les réflexions en cours à Bruxelles relativement aux données extra-financières, à la construction de ce pilier de l’analyse et de la comptabilisation extra-financière, afin d’assurer notre souveraineté. Nous défendons l’idée d’un European Cloud Act, sur le modèle du Small Business Act, afin de pouvoir assurer et garantir non seulement la protection des données de chaque citoyen, mais également la protection de nos start-up, mais en cohérence avec une épargne drainée qui accompagnerait le développement des entreprises. En effet, les quelques maillons existants méritent d’être renforcés.

Il serait souhaitable de dresser un bilan des mesures de protection déjà mises en place.

Nous suggérons de nous appuyer sur nos atouts, en les gardant à l’esprit, et de nous émanciper d’un environnement technologique qui ne nous est pas favorable, puisque 90 % des données personnelles sont stockées dans un cloud étranger. Nous préconisons que nos décideurs publics deviennent les porte-étendards de nouveaux choix assumés qui s’appuieraient sur des entreprises françaises ou européennes et proposeraient des solutions technologiques alternatives aux GAFAM. Il importe de donner de la visibilité à des solutions technologiques numériques françaises. L’exemple de Dassault Systèmes est intéressant parce que, grâce à une acquisition, cette entreprise a créé une plateforme sur laquelle ont été développés plus de la moitié des essais thérapeutiques liés aux vaccins. Nous disposons d’atouts. Il importe de nous appuyer dessus et de les disséminer.

S’agissant de l’épargne, nous avançons une proposition visant à reconstruire une forme de nouveau capitalisme français, mais en drainant l’épargne et en associant la garantie de l’État pour les apports en fonds propres, telle que l’a d’ailleurs proposée le rapport de France Stratégie sur la compétitivité des entreprises.

S’agissant de nos compétences, il nous semble très important de les protéger afin d’éviter que le cas de Nokia ne se renouvelle. Notre compétence existe et il convient de la préserver.

Nous envisageons la formation et l’accompagnement à ces transformations de compétences comme une hybridation. Cela signifie qu’il importe de conserver la compétence de cœur de métier à laquelle s’ajoutera la compétence de la donnée à différents niveaux, entre la culture data et un niveau beaucoup plus important.

M. Nicolas Blanc. S’agissant de Nokia, nous constatons une mutation d’un réseau purement télécoms vers un réseau virtuel. Cette évolution requiert de nouvelles compétences dans le upskilling, qui consiste pour les ingénieurs déjà en poste à acquérir de nouvelles compétences, et dans le reskilling, qui vise à former les nouveaux ingénieurs du futur sur les réseaux 5G totalement virtualisés. Ces compétences nouvelles constituent un véritable enjeu. Le centre de recherche et développement et le centre de cyber sécurité de Nokia sont simultanément impactés. La cyber sécurité s’avère essentielle afin que nous soyons en capacité de « tuiler » ces compétences et, surtout, de les préserver. Des actions ont été initiées dans ce sens, mais le maintien de ces compétences s’avère complexe. Je pense notamment à Qualcomm, une entreprise américaine, qui reprend une partie des capacités. Il convient de prendre conscience qu’à défaut de disposer d’une véritable filière télécoms, nos compétences nous échappent.

S’agissant de la cyber sécurité, Alcide, entreprise française, est en passe d’être rachetée par des capitaux étrangers. Il convient de se donner les capacités de réagir. Le décret Montebourg et ses extensions existent, certes, mais les levées de fonds présentent des risques, car elles ne font pas obligatoirement l’objet de contrôles. Des entreprises nous échappent lors d’importantes levées de fonds. Dataiku est passée sous pavillon américain et elle est dorénavant domiciliée aux États-Unis alors qu’initialement, cette entreprise a été incubée et innovée en France. Dataiku représente malgré tout un échec français.

La souveraineté numérique n’a pas de sens si elle ne s’inscrit pas dans une dimension européenne. Certaines initiatives françaises sont reprises au niveau européen. En matière de données, la France a une influence normative. En effet, la République des données de 2016 a repris la notion de donnée à forte valeur ajoutée dans le Data Governance Act. Le constat selon lequel nos propositions pertinentes remontent au niveau européen est donc positif. Le rapport de M. Éric Bothorel contient également des éléments très intéressants. L’Open data France nous a permis de prendre une avance réglementaire. Certains éléments sont repris dans la norme européenne.

La communication de la Commission européenne Shaping Europe's Digital Future constitue malgré tout un cadre européen très complet. Il conviendrait que nous l’intégrions et le déclinions au niveau local. La Toolbox 5G de l’Union européenne représente un cadre de réglementation très intéressant qui permettra de disposer d’un réseau sécurisé et d’une norme européenne respectée. Le cybersecurity package européen, décliné en 2017-2019, a été étendu avec la new strategy cyber européenne. Une logique intéressante s’inscrit également dans la stratégie française cyber avec le développement d’une filière française, l’investissement d’un milliard d’euros et le développement d’une véritable culture cyber dans les entreprises. L’enjeu d’acculturation aux risques cyber est également intéressant.

Sur le plan des compétences, le Digital Skills and Jobs Coalition mène une réflexion globale sur les modalités d’acquisition des compétences numériques. Il en existe une déclinaison française, pilotée par le MEDEF, qui se matérialise par « Perspectives IA » qui représente une appropriation générale de l’Intelligence artificielle. En outre, la participation à un engagement de développement de l’emploi et des compétences (EDEC) nous permet d’essayer de structurer la filière de l’Intelligence artificielle en France.

M. Philippe Latombe, rapporteur. Vous avez dressé un constat sur l’état actuel de la situation. Vous avez notamment évoqué Amazon qui représente actuellement au moins 65 % du commerce aux États-Unis, mais uniquement 20 % en France.

Ne pensez-vous pas que cette évolution semble tellement inévitable que s’y opposer serait peine perdue ? Ne serait-il pas préférable d’accompagner cette transformation plutôt que de s’y opposer et de quelle manière pourrions-nous l’accompagner ? À titre d’exemple, la pandémie a montré qu’Uber avait révolutionné non seulement le domaine de la livraison, mais également le monde du travail. La justice a repris la main en requalifiant, dans différents pays, les travailleurs d’Uber comme salariés.

Du point de vue de la centrale syndicale que vous représentez, est-il impératif de combattre cette évolution, d’ériger des murs, ou est-il préférable de l’accompagner ? Comment pouvons-nous la réguler ? Quelles protections pourrions-nous ériger et nous y tenir ?

Mme Raphaëlle Bertholon. Il serait souhaitable de formuler des propositions alternatives, telles qu’une régulation économique. La mise en place d’audits, l’identification de sanctions, l’exigence d’une transparence des algorithmes permettraient d’atteindre au cœur de l’impact du jeu concurrentiel. À titre d’exemple, Uber ne tire aucun bénéfice des taxis. Il existe un jeu de concurrence qui, selon nous, est faussé. Autoriser un audit et obtenir une transparence des algorithmes constitueraient un élément-clé qui permettrait de comprendre le modèle économique, son fonctionnement et la répartition de la richesse. Dès lors, il devient possible de comparer le modèle salarial à celui de type Uber. Uber n’acquitte aucun impôt et n’est pas rentable. Il constitue un prédateur économique.

M. Nicolas Blanc. La part de marché prise par Amazon n’est pas dérangeante, mais l’abus de position dominante l’est. Le problème réside dans le droit de la concurrence. En effet, nous constatons un abus de dépendance économique parce que les entreprises qui occupent sa market place sont dépendantes d’une augmentation d’Amazon qui décide de plus ou moins ponctionner les revenus. Il s’agit donc bien d’un abus de dépendance économique. L’abus de position dominante constitue une référence à la souveraineté économique (marché primaire/marché secondaire). Quand Amazon propose l’Amazon premium, il se positionne obligatoirement comme dominant, c’est-à-dire qu’il utilise son pouvoir de marché pour influencer un autre marché, à savoir celui de la vidéo à la demande (VOD). Seule une régulation permettrait de supprimer ces distorsions de concurrence. À défaut, c’est impossible. La régulation s’impose à nous.

En outre, les aspects liés au code du travail sont très opaques. Nous rencontrons des difficultés à entrer dans ce périmètre afin de le réglementer. La réglementation doit intervenir non seulement au niveau concurrentiel, mais également au niveau du code du travail. Il est essentiel que ces entreprises respectent la réglementation en place.

M. Philippe Latombe, rapporteur. Comment une centrale syndicale approche-t-elle ces évolutions du marché du travail, les opportunités d’emploi, l’accompagnement des publics éloignés du numérique qui, à la suite d’incidents professionnels, sont contraints de retrouver du travail, etc. ? Comment appréhendez-vous la situation actuelle ? Quel type de formation continue pourrions-nous mettre en œuvre ? Comment une centrale syndicale accompagne-t-elle les salariés ? Quels conseils leur prodigue-t-elle ? Comment appréhendez-vous la situation actuelle dans votre participation aux différents organismes de formation professionnelle ?

Mme Raphaëlle Bertholon. J’ai évoqué précédemment la notion d’hybridation. Nous évoluons d’un territoire vers un autre. Les compétences des ingénieurs doivent être préservées, mais il convient de les compléter par hybridation de sorte que leurs compétences initiales puissent s’exercer pleinement dans le territoire numérique. Nos collègues de Nokia et de la métallurgie, dans leur plan de sauvegarde d’activité avaient proposé une initiative intéressante qui consistait à conserver les compétences « cœur de métier » acquises, à procéder à un tuilage de deux ou trois ans, dans le cadre d’un groupement d’intérêt public qui aurait regroupé plusieurs entreprises, et à accompagner la mise en place de la 5G, notamment dans l’industrie, puisque la croissance s’y annonce forte. Ce projet, proposé par la CFE-CGC, n’a malheureusement pas été retenu. Dès lors, ces ingénieurs qui sont des spécialistes de la 5G devront se reconvertir, probablement dans le big data, aux frais du contribuable. Ils perdront une partie de leurs compétences, alors que nous proposions une alternative. Nous estimons qu’il est essentiel de garantir cette continuité de passage vers ce nouveau territoire. Il nous semble indispensable de préserver les compétences numériques qui permettent d’évoluer dans les secteurs un peu brouillés de l’espace numérique.

M. Nicolas Blanc. J’ai évoqué la notion d’acculturation qui consiste également à comprendre la réalité. L’arrivée de l’Intelligence artificielle a été abordée comme susceptible de générer potentiellement la disparition de l’emploi, etc. L’impact sur les salariés a été puissant. Dès lors, nous avons initié des cycles sur l’Intelligence artificielle et rédigé une charte éthique et numérique afin de, non seulement nous approprier ces sujets, les comprendre, mais également être capables de les expliquer. Nous nous positionnons dans une logique de transmission et de sensibilisation des salariés, puis d’accompagnement dans les formations.

Nous nous attachons à identifier les impacts sur l’emploi. L’Intelligence artificielle se concentrant sur le travail à faible valeur ajoutée, cela permet de développer de nouvelles compétences que nous accompagnons.

La charte que nous avons mise en place vise également à sensibiliser les directions des ressources humaines (DRH). En effet, il convient d’accompagner non seulement les salariés, mais également les DRH vers les nouvelles gestions prévisionnelles des emplois et des compétences. Nous disposons de modèles plus agiles et nous les accompagnons dans la mise en place d’un numérique au service de tous.

Cette acculturation permet de circonscrire un terrain propice à la formation au numérique et d’éviter que la peur conduise à l’incompréhension des sujets.

Mme Raphaëlle Bertholon. Le numérique ne nous fait pas peur. Nous essayons de le comprendre et nous observons qu’il génère de prodigieux gains de productivité. Notre projet européen vise à identifier ces gains de productivité afin de le poser en véritable moteur de l’accompagnement de la transformation et des compétences. Les nouveaux modèles économiques partagent différemment la valeur ajoutée et ils deviennent ensuite un moteur d’identification de l’ensemble des transformations.

Différents observatoires de métier ont mené des études relatives à l’impact de l’Intelligence artificielle sur les métiers (banque, commerce, télécoms). Les résultats sont parfois surprenants. Les transformations ne sont pas toujours aussi importantes qu’attendu, parce que les compétences « métier » demeurent. Lorsque les impacts sont identifiés, il convient d’harmoniser les aspects économiques, l’accompagnement et le dialogue social.

M. Philippe Latombe, rapporteur. Les entreprises, notamment les TPE-PME, sont-elles suffisamment numérisées ou conscientes de la nécessité qui s’imposera à elles d’entrer dans la numérisation ?

La nécessité absolue d’accompagnement des salariés vers le numérique est-elle bien intégrée dans les entreprises, qu’il s’agisse d’acquérir des compétences en interne ou d’assurer leur éventuelle employabilité future ?

Le numérique ne représente-t-il pas un moyen pour des entreprises de trouver des compétences dont elles ne disposaient pas auparavant et qu’elles ne trouveraient pas obligatoirement sur le marché, du fait du déficit de compétences incluses dans la formation initiale des salariés ?

Mme Raphaëlle Bertholon. La plupart des grandes entreprises sont conscientes des enjeux. S’agissant des petites et moyennes entreprises, nous constatons des chaînes de valeur totalement déséquilibrées. En effet, les donneurs d’ordres exercent un véritable pouvoir sur les PME et les contraignent. À titre d’exemple, General Electric a demandé à l’ensemble de ses sous-traitants de réduire leur facture de 20 %. Cet exemple est représentatif de la réalité économique du tissu des PME. Dès lors, si les PME sont conscientes qu’il est indispensable de progresser vers le numérique, elles n’en ont pas obligatoirement les moyens. Il appartient à l’État d’aborder le sujet en écosystème afin de permettre aux petites entreprises d’en profiter et de ne pas être complètement étouffées. Je rappelle que les PME représentent le plus important pourvoyeur d’emplois en France.

M. Nicolas Blanc. Les PME sont les laissées pour compte de la souveraineté numérique. Il n’existe actuellement aucune logique d’organisation. Les PME s’orientent vers des outils gratuits et elles se numérisent comme elles peuvent.

En revanche, les grands groupes ont pris la mesure de la transformation numérique, de la transformation digitale. La difficulté réside dans le choix entre une numérisation progressive et une bascule radicale vers des modèles plus orientés sur l’Intelligence artificielle. La gestion prévisionnelle des emplois et des compétences (GEPC) n’est pas encore généralisée. Il est complexe de mesurer l’impact sur les emplois et les GPEC sont construites à horizon de deux ou trois ans. Or nous avons besoin d’une plus grande agilité afin d’être très réactifs. Il conviendrait de mesurer l’impact de l’Intelligence artificielle sur chaque emploi et chaque année, ce qui représente également une transformation technologique complexe.

Je suis très critique des écoles de l’Intelligence artificielle de Microsoft. Si le secteur public n’agit pas, le secteur privé agit. Or les certifications de ces écoles de l’Intelligence artificielle sont uniquement des certifications Microsoft. Nous formerons donc des Data Scientists de Microsoft. L’université de la Sorbonne propose un master Microsoft Learning. Il convient de prendre conscience que Microsoft pénètre tous les niveaux en France, y compris le secteur de la formation. Le logiciel utilisé pour l’école à la maison, Blackboard, est américain et il est hébergé par Amazon Web Services. Ce constat relève de la problématique de souveraineté. Nous sommes acteurs de la mise en place de la formation pour les enjeux numériques.

M. Philippe Latombe, rapporteur. Selon vous, quel est le périmètre du rôle de l'État ? Vous avez évoqué le rachat d’entreprises de haute technologie et des start-up françaises par des Américains. Vous avez également évoqué l’éducation, Blackboard, Microsoft, AWS, etc. Jusqu’où l’État peut-il intervenir ?

Mme Raphaëlle Bertholon. Nous disposons d’une épargne importante, ce qui représente un atout formidable. Cependant, la réglementation bancaire est extrêmement contraignante. Il n’est pas possible de vendre un produit extrêmement risqué à un client qui n’a pas démontré qu’il comprenait et acceptait le risque. Nous pensons que l’État doit pouvoir accompagner en posant sa garantie et ce serait un moyen de drainer cette épargne et de lui donner du sens au service de notre souveraineté numérique. Il conviendrait d’étudier l’ensemble des étapes du financement des entreprises afin d’identifier des possibilités d’action. Le rôle de l’État consiste à assurer une cohérence globale et à faire en sorte que nous disposions de tous les outils à tous les niveaux, via Bpifrance. Cet exemple pourrait être dupliqué.

M. Nicolas Blanc. Nous considérons qu’il appartient à l’État de protéger les compétences. L’exemple de Nokia montre que cette perte de compétence en matière de recherche et développement en 5G et de cyber sécurité est malgré tout très frustrante, alors que la cyber sécurité devient un enjeu de société majeur. Nokia affiche la volonté de créer un centre de cyber sécurité, mais il n’a pas communiqué d’échéance.

Il revient également à l’État d’harmoniser les secteurs, d’agir dans une logique intégrée. Nous disposons de compétences éparses, mais d’aucune véritable filière 5G.

En outre, la situation actuelle est susceptible de générer de nouveaux plans sociaux chez Nokia, qui progresse dans toute l'Europe et qui fonctionne selon une logique mondiale, dépassant notre souveraineté nationale.

La force de l’État réside dans sa capacité à gérer les compétences au niveau national et au niveau local. La consolidation des résultats de l’EDEC par filière et par secteur nous permettra d’obtenir une vision complète de la situation. En effet, il s’avère complexe pour les entreprises de se projeter à cinq ou dix ans en matière de nouvelles compétences liées à l’Intelligence artificielle ou pour ce qui concerne les besoins qui seront les leurs à l’arrivée de jeunes salariés. Il convient donc de trouver cet équilibre entre le travail initial de prospective, mené par les organisations syndicales et patronales dans l’EDEC, et les propositions de formations aux nouvelles compétences.

Mme Raphaëlle Bertholon. Il appartient à l’État d’édicter une feuille de route et d’assurer la cohérence d’un ensemble qui se présente actuellement en « silos » afin de gagner en efficacité.

M. Philippe Latombe, rapporteur. Pensez-vous que l’État se structure autour du numérique ou bien estimez-vous qu’il fait preuve d’une trop grande dispersion ?

Sur quelles trajectoires jugeriez-vous souhaitable d’agréger l’ensemble de l’État ?

Mme Raphaëlle Bertholon. Certaines actions ont été initiées, mais nous n’avons pas le sentiment qu’il existe une véritable feuille de route qui coordonne l’ensemble. Nombreux sont ceux qui s’émeuvent que nos données de santé soient hébergées par Microsoft via le Health Data Hub ou Doctolib. Pour autant, le droit ne s’y oppose pas. L’évolution de cette situation relève d’un choix politique complexe qui mérite des explications. Ce choix n’ayant pas été véritablement affirmé, la commission nationale de l’informatique et des libertés (CNIL) et le Conseil d’État ont pris position, puis la caisse nationale de l’assurance maladie (CNAM) a finalement refusé de transmettre les données de santé pour un hébergement par Microsoft. Force est donc de constater que nous ne disposons d’aucune vision claire et assumée. L’état des lieux est ce qu’il est et il convient de l’assumer.

M. Nicolas Blanc. S’agissant de l’Intelligence artificielle ou de la cyber sécurité, les logiques européennes ont évolué, en regard des importants enjeux liés à la souveraineté. La France intègre ces logiques, en cohérence avec le cadre européen, et ce constat est positif pour nos partenaires. L’open data s’inscrit vraiment dans le Data Governance Act. Nous investissons dans l’interopérabilité et la cyber sécurité et nous construisons progressivement une véritable doctrine. Néanmoins, l’urgence ne peut pas constituer une priorité absolue et il importe de tenir compte des enjeux de souveraineté et de proposer une solution à décliner selon un calendrier déterminé. Il est incompréhensible que l’État, via Bpifrance, et sous couvert d’accélérateur numérique, propose à des PME d’héberger leurs données sur Amazon Web Services et qu’elles se retrouvent finalement sur la market place d’Amazon.

Il est regrettable que, d’une part, nous construisions une véritable doctrine cohérente, la notion de souveraineté numérique étant prégnante et la puissance publique s’engageant dans cette dimension, avec une volonté de sensibilisation et d’investissements à tous les niveaux, et que, d’autre part, nous encouragions le Health Data Hub. C’est choquant.

M. Philippe Latombe, rapporteur. Les outils législatifs résultent de choix sociaux, culturels, historiques, etc. Vous avez évoqué les acteurs américains du numérique, mais il existe également des acteurs dans d’autres pays, tels que la Chine, qui proposent des approches différentes. Que proposez-vous afin d’harmoniser ces approches ? Est-il souhaitable d’harmoniser l’ensemble de ces visions ou bien est-il préférable que nous tracions notre propre voie ? Quelles modalités de régulation suggèreriez-vous ? Les projets vous semblent-ils suffisants ? Selon vous, quelle serait la meilleure échelle ?

Mme Raphaëlle Bertholon. Il convient de cesser de nourrir des illusions. Il ne sera pas possible de construire une régulation impliquant les deux blocs que vous avez évoqués, la Chine et les États-Unis. La meilleure échelle serait européenne.

Trois textes permettent une forme de régulation : le Data Governance Act, le Digital Services Act et le Digital Markets Act. Le Digital Governance Act est assimilable, pour l’économie, au Règlement général sur la protection des données (RGPD) applicable à la vie privée. Il devrait permettre d’établir une véritable économie de la donnée. Ensuite, il conviendrait de pouvoir accéder aux algorithmes et de construire une autorité de régulation intermédiaire entre l’autorité de la régulation de la concurrence et la CNIL. Le travail d’une telle autorité permettrait de comprendre l’ensemble des effets des algorithmes, notamment sur le jeu concurrentiel, le nerf de la guerre.

S’agissant des données, il convient de mener une politique d’open data correctement ciblée qui permette de déplacer le niveau de création de valeur de la détention de la donnée, puisque les données sont alors ouvertes, vers l’analyse de la donnée. Cela constituerait un moyen pour les Européens de combler leur retard.

M. Nicolas Blanc. Il importe que nous nous inscrivions dans un cadre de régulation au niveau européen, car cela permettrait d’établir un véritable rapport de force. La déclinaison de la réglementation actuelle est complexe à opérer au niveau local. Toutefois, dans son rapport, M. Éric Bothorel s’inscrit au-delà de ce qui est proposé par le Data Governance Act pour l’Europe. La France est en avance sur certains points et elle dispose d’une force normative. À titre d’exemple, la loi pour une République numérique, promulguée en 2016, s’est avérée pertinente et elle est devenue normative au niveau européen. Bien qu’il fasse l’objet de nombreuses critiques, le projet GAIA-X, initié par l’Europe, propose une alternative vraiment intéressante, une troisième voie européenne. L’Europe propose des services et met en place un cahier des charges exigeant, notamment dans le domaine du stockage des données, dans la logique du cloud de confiance que nous avons essayé de mettre en place en France. La France a un rôle à jouer au niveau européen pour influencer les doctrines.

M. Philippe Latombe, rapporteur. Cela signifie-t-il que nous devions mettre des valeurs dans cette fameuse troisième voie européenne ? Trouverons-nous cette troisième voie grâce à la transcription des valeurs européennes dans le cadre réglementaire et législatif ? Vous avez évoqué l’exemple de la donnée. En ce qui concerne les valeurs, nous n’avons pas la même conception que les Américains qui considèrent que la donnée appartient à celui qui l’a collectée. À l’inverse, les Chinois estiment que la donnée appartient à l’État. L’Europe pose que la donnée appartient soit à la personne et non pas à celui qui l’a collectée, soit à un collectif, c’est-à-dire à celui qui l’a collectée mais de manière à l’intégrer à un ensemble qui sera exploité dans l’intérêt général.

Au-delà de la donnée, ces exemples peuvent-ils être déclinés sur d’autres sujets du numérique tels que l’Intelligence artificielle, le quantique, les réseaux sociaux, etc. ? Est-ce la bonne voie ?

Mme Raphaëlle Bertholon. C’est clairement la bonne voie. En ce qui concerne la donnée, le RGPD a posé les bases en reconnaissant la propriété de la personne. Ce postulat nous différencie du modèle chinois, basé sur le crédit social et donc l’appartenance des données à l’État, ou du modèle américain dans lequel la donnée appartient à son collecteur.

Notre organisation syndicale CFE-CGC est convaincue du pouvoir du collectif de la donnée. Ce thème constitue l’orientation à long terme des réflexions de notre syndicat. C’est pourquoi nous réfléchissons à cette valeur économique et à cette redistribution, au partage des richesses.

M. Philippe Latombe, rapporteur. Discutez-vous de ce positionnement de la CFE-CGC avec les autres centrales syndicales françaises et européennes ? Quelle est la position de vos homologues des autres centrales ?

Mme Raphaëlle Bertholon. Nous échangeons avec nos homologues des autres centrales syndicales. Cependant, s’agissant de la donnée, nous affichons notre spécificité parce que nous nous y sommes intéressés très tôt. Nous avons élaboré un projet avec nos homologues syndicaux, y compris européens. Nous sommes également partenaires de la chaire « Gouverner l’organisation du numérique » à Nanterre où nous sommes aux côtés de l’Union générale des ingénieurs, cadres et techniciens CGT (UGICT). Néanmoins chaque organisation syndicale a une perception un peu différente du numérique.

M. Nicolas Blanc. Le Conseil économique, social et environnemental (CESE) a organisé des discussions, notamment sur l’Intelligence artificielle.

Il existe une différence de maturité entre nous. À travers notre charte éthique et numérique, nous souhaitons impacter la notion de valeurs. Le RGPD a vraiment ouvert la troisième voie et il est devenu un avantage concurrentiel. Certaines entreprises mettent le RGPD en avant. La troisième voie existe et il faut poursuivre dans cette direction pour l’Intelligence artificielle, une Intelligence artificielle de confiance, parce que cela a du sens. La confiance est essentielle et c’est pourquoi nous souhaitons accompagner ces grandes mutations au sein des entreprises et les expliquer aux salariés. À titre d’exemple, la confiance constitue la base du télétravail.

Telles sont les valeurs que nous souhaitons mettre en œuvre. Dans tous les domaines, la troisième voie permettra, par la régulation, de circonscrire un cadre dans lequel se développera une confiance régulatoire afin de progresser.

M. Philippe Latombe, rapporteur. La pandémie a mis en exergue les difficultés à fonctionner, rencontrées par certaines entreprises ou administrations. Le télétravail a été mis en œuvre dans l’urgence pour pallier ces difficultés. Quelles conséquences en tirez-vous, bien que la pandémie ne soit pas terminée ? Quelle est votre vision de l’avenir relativement au travail via le numérique ? Dans une entreprise normale, comment fonctionnent le télétravail, le distanciel, le management ? Qu’attendez-vous des pouvoirs publics à ce sujet ?

Mme Raphaëlle Bertholon. La CFE-CGC considère que le télétravail, tel qu’il a été mis en place à l’occasion de la pandémie, constitue un télétravail contraint. À titre d’exemple, dans mon entreprise, nous n’avons pas appliqué l’accord relatif au télétravail, mais le plan de continuité d’activité, c’est-à-dire la poursuite de l’activité à domicile. Cette distinction est importante, car le télétravail n’a pas été déployé, lors de la pandémie, dans les conditions dans lesquelles la CFE-CGC souhaite qu’il s’applique. En effet, nous estimons que, pour rester efficace, le télétravail peut être autorisé pour deux jours par semaine, ainsi que le démontrent la plupart des études menées à ce sujet. Nous ne sommes pas favorables à un télétravail à temps plein, parce que nous considérons que le présentiel est important.

Des défaillances majeures ont été enregistrées. Je me souviens notamment de la fameuse fusée américaine qui a explosé et la recherche des causes a montré que l’accident avait trouvé son origine lors d’une réunion tenue en conférence téléphonique au cours de laquelle, malheureusement, les intervenants n’avaient pas identifié l’ensemble des signaux faibles. Cet évènement démontre toute l’importance d’une présence physique aux réunions au cours de laquelle des échanges sont initiés.

Pour ce qui concerne l’avenir, je pense que seront mis en œuvre des modes de travail que nous qualifierons d’« hybrides ». En effet, un total retour en arrière n’est pas envisageable et un certain nombre de réunions se dérouleront à distance afin d’éviter les déplacements. Il serait néanmoins essentiel de préserver le présentiel.

M. Nicolas Blanc. La mise en place du télétravail a été laborieuse, car elle s’est déroulée sur la base de préconisations. Les choix n’ont pas été très clairs alors que dans certaines régions, telles que la région parisienne, l’intérêt sanitaire aurait pu conduire à imposer le télétravail.

Toutefois, le télétravail produit un impact à long terme : perte du collectif, isolement, etc. La difficulté réside dans la gestion du télétravail dans la durée. En outre, la représentation syndicale est complexifiée par la perte du collectif.

Enfin, des négociations d’accords étaient en cours et nous pouvions supposer que les employeurs avaient pris conscience d’un certain nombre de points. Pourtant, le ticket restaurant a dû faire l’objet de jurisprudences afin de déterminer les droits de chacun. Le télétravail est basé sur la confiance, mais il demeure essentiel que le salarié soit autorisé à discuter sereinement de son accompagnement.

Le télétravail comporte des aspects ergonomiques et de conditions de travail. Il est important de le mettre en œuvre dans de bonnes conditions, sachant que nous venons de subir les pires modalités du télétravail. Le télétravail nécessite non seulement un accompagnement dans la durée, mais également un accompagnement financier, qui doit être négocié et faire l’objet d’un accord. Nous sommes au cœur des discussions et nous constatons une certaine frilosité.

Quoi qu’il en soit, le télétravail se développera, y compris pour des emplois jugés initialement non télétravaillables. Finalement, avec de l’agilité, le télétravail a été ouvert à de nombreux emplois. Il convient dorénavant de lui construire un nouveau cadre plus réglementaire.

M. Philippe Latombe, rapporteur. Lors du premier confinement, le télétravail était obligatoire. Lors du deuxième confinement, le nombre de télétravailleurs a diminué. Cela signifie que certaines entreprises avaient demandé à leurs salariés de travailler en présentiel. Le gouvernement a imposé un télétravail obligatoire, dès lors qu’il s’avérait possible, lors du troisième confinement. Le télétravail a-t-il un avenir ou bien, culturellement, la France y serait-elle un peu réfractaire ?

Au-delà des problématiques d’accords, les entreprises sont-elles prêtes pour le télétravail ?

M. Nicolas Blanc. La mutation avait débuté avant la crise sanitaire. Il existe désormais non seulement une véritable culture du télétravail, mais également une réelle demande. Nous avons passé un cap.

Cependant, le cadre demeure très important. Un accord relatif au télétravail permet de limiter le nombre de jours de télétravail. Les réflexions doivent être menées en bonne intelligence afin de fixer un cadre dans lequel chacun établira ensuite un auto-diagnostic et choisira autant que faire se peut son fonctionnement.

Mme Raphaëlle Bertholon. Le nécessité du présentiel s’est également exprimée. La pandémie nous a surpris et a conduit les entreprises à organiser des plans de continuité d’activité. La banque, par exemple, a été considérée comme une organisation d’importance vitale (OIV) parce qu’il était important d’assurer une présence sur les sites. Ce choix s’est révélé salutaire pour les salariés, parce que certains ne parvenaient plus à déconnecter. L’être humain ressent le besoin quasiment physique d’entretenir des interactions sociales qui n’existent malheureusement pas via la vidéo et qui, malgré tout, représentent un gage d’efficacité.

M. Nicolas Blanc. Le télétravail a été rendu possible par les outils utilisés dans les entreprises et force est de constater que l’omniprésence de Microsoft a permis le déploiement de Teams qui s’est développé de façon spectaculaire.

Cependant, la situation nous a rendus encore plus dépendants à l’égard de ces outils. Il conviendrait que nous soyons capables de développer des alternatives. Actuellement, l’écosystème Microsoft est mis en place dans les grandes entreprises et il fournit l’ensemble des outils. Certes, c’est très fluide. Teams permet de créer sa gestion de projet, Outlook gère les boîtes e-mail, etc. Nous sommes accompagnés dans cette logique, mais notre dépendance est considérable.

M. Philippe Latombe, rapporteur. Souhaitez-vous que nous traitions d’autres sujets que nous n’avons pas encore soulevés ?

Mme Raphaëlle Bertholon. Je souhaiterais aborder la féminisation des métiers à laquelle nous sommes d’autant plus attentifs qu’elle a régressé dans les métiers du numérique. Les femmes étaient plus nombreuses dans le passé dans ces métiers. Il est important de retrouver cet équilibre. Un univers uniquement masculin ne porte pas le même regard et cela impactera l’Intelligence artificielle. L’équilibre contribuera à sensibiliser aux enjeux du numérique. Le secteur du numérique n’enferme pas. Au contraire, il ouvre de nombreuses opportunités. Il convient de développer une pédagogie qui attirera le public féminin vers ces métiers du numérique dans son ensemble.

M. Nicolas Blanc. Je souhaiterais mettre en avant l’écosystème open source en France. L’open source a été identifié comme une véritable stratégie de souveraineté. Le conseil national du logiciel libre (CNLL), union des entreprises du logiciel libre et du numérique ouvert, est l’organisation représentative en France des entreprises de la filière open source. Il regroupe près de trois cents entreprises structurantes du domaine de l’open source et il importe de le valoriser. Ces entreprises sont également membres de l’association professionnelle européenne du logiciel libre (APELL). L’écosystème se structure et il importe de le souligner.

En France, certaines initiatives sont intéressantes. L’initiative « Libre », notamment, a mis en place une agrégation d’outils open source qui constituent une alternative intéressante aux GAFAM.

Il me semble essentiel de sensibiliser les grandes entreprises à notre dépendance aux grands outils, aux grands éditeurs, en priorité américains. J’espère que le dossier de GAIA-X génèrera une nouvelle confiance et conduira les entreprises à évoluer.

La souveraineté est l’affaire de tous.

Mme Raphaëlle Bertholon. Notre réflexion a progressé et nous avons enrichi la note que nous vous avions transmise. Nous vous transmettrons une note actualisée.

M. Philippe Latombe, rapporteur. Je vous remercie beaucoup pour ce temps que nous avons partagé. Il était important pour nous de connaître les réflexions de la CFE/CGC sur ce sujet.

Audition, ouverte à la presse, de M. Rémy Ozcan, président de la fédération française des professionnels de la blockchain (FFPB) (22 avril 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. M. Rémy Ozcan, vous avez créé, en 2020, en tant que spécialiste de la technologie blockchain et cofondateur de Crypt4All, la fédération française des professionnels de la blockchain (FFPB) avec M. Jean-Michel Mis, député de la Loire et rapporteur, au même titre que Mme Laure de la Raudière, d’une mission d’information sur les usages des bloc-chaînes (ou blockchains) et autres technologies de certification de registres.

La FFPB rassemble les acteurs de l’écosystème français de la blockchain sous un seul et même étendard, autour de trois mots d’ordre : fédérer, professionnaliser et structurer. Ses membres appartiennent aussi bien au monde de l’entreprise qu’à celui de la formation ou encore de la recherche.

Nous nous réjouissons d’échanger avec vous sur l’état de l’écosystème de la blockchain en France et les moyens pour cette technologie de participer à la construction d’une souveraineté numérique nationale et européenne.

Je commencerai par ma question rituelle. Elle portera sur votre conception de la souveraineté numérique, dont existe une grande diversité de définitions. Comment approchez-vous personnellement cette notion ? En quoi pourrait-elle constituer un levier de souveraineté pour la France et l’Europe ? Je souhaiterais à ce propos que vous nous rappeliez brièvement les principes de la technologie blockchain, ses cas d’usage et son niveau de maturité.

Nous traiterons ensuite du développement en France d’un écosystème blockchain performant, notamment grâce à votre organisation, dont la mission consiste à fédérer et professionnaliser ce secteur en cours de construction. Comment jugez-vous l’action des pouvoirs publics dans ce domaine, alors même que le gouvernement a pris l’initiative, avec les acteurs de votre secteur, d’une stratégie nationale blockchain ? Comment, d’ailleurs, avance cette stratégie ? Qu’en attendez-vous ? Nous accueillerons volontiers toute proposition d’amélioration du cadre réglementaire en place.

Enfin, je souhaite aborder la dimension européenne de la blockchain. Comment la France se positionne-t-elle dans ce domaine par rapport à ses voisins européens ? Que pensez-vous de l’action de l’Union Européenne ? Nous en profiterons pour évoquer l’enjeu juridique de la force probante de la blockchain.

M. Rémy Ozcan, président de la fédération française des professionnels de la blockchain (FFPB). Je tenais tout d’abord, M. le député, à vous remercier d’avoir instauré une mission d’information sur ce sujet d’une importance cruciale pour l’avenir de notre pays.

La FFPB vise à structurer et professionnaliser l’écosystème français de la blockchain, trop fragmenté jusqu’alors. Consciente que son utilisation dépasse largement la sphère des cryptoactifs, notre fédération a adopté une approche plurisectorielle afin de permettre à toute entreprise, quel que soit son secteur d’activité, d’identifier des cas d’usage concrets de la blockchain, pour en tirer parti.

Malgré sa récente création en juillet 2020, notre fédération regroupe déjà un grand nombre d’entreprises œuvrant dans plus d’une dizaine de secteurs, dont l’énergie, les télécommunications, l’économie circulaire, l’assurance et le luxe – preuve de la diversité des cas d’usage de la blockchain. La présence, parmi les membres de la FFPB, de grandes entreprises, telles qu’EDF, Orange ou Suez, intéressées par cette nouvelle technologie, atteste le dynamisme de notre industrie. Il me semble important d’en identifier les forces et les faiblesses pour proposer des recommandations à même d’accompagner son évolution, en lui assurant le soutien des pouvoirs publics.

L’usage de la blockchain concerne de nombreuses questions, dont celle de la valeur juridique en tant que preuve des informations inscrites dans un registre de blockchain, ou encore celle de la souveraineté numérique. Avant de saisir les spécificités de cette technologie, il apparaît indispensable d’en comprendre la nature, les cas d’usage, et en quoi elle nous offre une formidable opportunité de nous réapproprier notre souveraineté dans l’espace numérique, l’un de ceux où la souveraineté de notre nation doit justement le plus se manifester.

La technologie blockchain correspond à ce que l’on qualifie d’Internet de la valeur. Elle permet d’échanger des actifs d’un usager à un autre, comme Internet permet de transmettre des informations de pair à pair, indépendamment de la localisation géographique de chacun, sans passer par un intermédiaire de confiance. La blockchain autorise une forme de collaboration horizontale, via le partage d’informations en toute sécurité, sans que leur intégrité puisse être remise en cause. Bien que le degré de maturité de cette technologie rende dès aujourd’hui possible son utilisation massive, elle continuera de se développer jusqu’à ce qu’elle puisse se déployer à l’échelle mondiale en 2022. En somme, la blockchain, loin d’être encore contestée, fait aujourd’hui figure d’évidence dans un certain nombre de secteurs, comme nous le rappelle d’ailleurs régulièrement l’actualité.

Par rapport à d’autres technologies existantes, la blockchain présente l’avantage de garantir l’intégrité des données et des informations inscrites dans son registre, du fait de ses composantes intrinsèques : la cryptographie, la signature électronique, la distribution du registre et la décentralisation des validations. La Russie et Israël utilisent essentiellement la blockchain à des fins de cybersécurité.

La seule question qui se pose encore porte donc sur l’usage réservé à la blockchain. Dans quel objectif les entreprises et les pouvoirs publics français s’en saisiront-ils ? Certains pays y recourent par souci de traçabilité, d’autres, comme l’Australie ou les États-Unis, dans le secteur financier. La blockchain apparaît en tout cas comme le moyen le plus rapide, fiable et sécurisé de transférer des actifs ou des données partout dans le monde.

Il me semble essentiel de situer la discussion dans son contexte géopolitique. Depuis l’avènement d’Internet et l’émergence de technologies disruptives, les principales luttes d’influence politique et économique se déroulent dans l’espace numérique, largement dominé par les États-Unis et la Chine. En tant que technologie d’infrastructure, la blockchain offre une formidable opportunité de redistribuer les cartes en réaffirmant la souveraineté de notre nation à travers celle de l’Union européenne.

Nous reviendrons sans doute sur la façon concrète dont la blockchain permet aux entreprises et aux pouvoirs publics de récupérer cette souveraineté érodée au fil des ans, au fur et à mesure des virages technologiques que nous avons manqués, tels celui d’Internet ou du cloud.

Mon optimisme foncier me convainc que nos faillites passées ne nous condamnent pas forcément à un nouvel échec à l’approche du virage de la blockchain. Malgré la rapide mobilisation des pouvoirs publics autour de cette nouvelle technologie, notre écosystème doit encore évoluer, si nous voulons qu’il atteigne son apogée.

J’aimerais évoquer les constats effectués par la FFPB. Nous avons tout d’abord procédé à un état des lieux de l’écosystème de la blockchain afin d’en identifier les forces et les faiblesses. Les conclusions de notre enquête nationale, close en octobre 2019, ont été remises au secrétaire d’État au numérique, M. Cédric O, qui a bien voulu assister à notre première réunion publique, le 29 octobre dernier, dans les locaux de l’Association française de normalisation (AFNOR), partenaire stratégique de la FFPB.

Cette enquête a d’abord mis en évidence l’intérêt prononcé des grands groupes pour la blockchain. Plus de 55 % des sociétés dont la cote entre dans le calcul de l’indice SBF 120 mènent en ce moment même des projets impliquant cette technologie. Récemment, le groupe LVMH a décidé d’y recourir, après trois années d’expérimentation.

Notre enquête a en outre révélé la commercialisation en bonne voie d’un nombre considérable de produits et de services mobilisant la technologie blockchain. Plus de 69 % des acteurs de l’écosystème français de la blockchain ont déjà développé des solutions commercialisables. Le chiffre d’affaires de près de la moitié d’entre eux dépasse les 500 000 euros.

Le marché de la blockchain se présente essentiellement comme un marché interentreprises (ou B to B). La plupart des sociétés, quand elles répondent par exemple à un appel d’offres, en sollicitent d’autres pour acquérir auprès d’elles des solutions. 90 % des sociétés de notre industrie proposent des services ou des produits à d’autres entreprises. Plus de 60 % de petites et moyennes entreprises (PME) fortes d’une remarquable expertise dans la technologie blockchain ont conclu, avec de grands groupes, un partenariat qui relève pour elles d’une impérieuse nécessité.

Les investisseurs manifestent un intérêt indéniable pour la blockchain. Plus de 53 millions d’euros, en montants cumulés, ont été, entre 2017 et 2019, investis dans les sociétés de notre industrie, en dehors de Ledger qui a collecté, à elle seule, plus de 69 millions d’euros. Entre 2017 et 2019, les investissements dans ce secteur, aux États-Unis, sont passés de 850 millions à plus de 4,5 milliards de dollars. Une telle croissance spectaculaire se poursuit à l’heure où la pandémie prouve, plus que jamais, la nécessite d’accélérer la numérisation de notre économie.

La France doit augmenter ses capacités d’investissement pour soutenir le développement des entreprises de la blockchain. Nous aurions pu penser que le contexte difficile inciterait celles-ci au pessimisme. Au contraire, 90 % d’entre elles jugent favorables leurs perspectives de développement, qu’elles souhaitent poursuivre en France à court terme. Deux tiers ont déclaré vouloir engager des experts de la technologie blockchain, d’où le besoin d’étendre les offres de formation, afin de niveler par le haut les compétences des futures recrues.

66 % des acteurs de la blockchain se sont déclarés favorables à une volonté de privilégier des blockchains françaises, c’est-à-dire à l’architecture mise au point en France, par une entreprise siégeant en France, grâce à des financements français.

En conclusion, la France dispose d’un écosystème blockchain hétérogène et dynamique, en bien meilleure santé que d’autres secteurs rudement éprouvés par la pandémie. C’est aujourd’hui même qu’il faut soutenir les entreprises françaises du secteur et non dans quelques années, quand des puissances étrangères auront investi le marché. Comprenons bien qu’il ne s’agit pas d’un simple marché de niche comme d’aucuns ont pu le croire. Il représentera en effet plus de 25 milliards de dollars en 2025, selon les prévisions du Forum économique mondial en 2018. L’accélération de la numérisation de l’économie due à la pandémie invite d’ailleurs à revoir ce chiffre à la hausse.

Un immense marché s’étend devant nous. Nombre d’entreprises se mobilisent déjà pour saisir les opportunités liées à la blockchain.

Je voudrais attirer votre attention sur un point fondamental qu’il convient de garder à l’esprit. La technologie blockchain permet de proposer, depuis n’importe quel pays, des produits et des services liés à la traçabilité de produits alimentaires et pharmaceutiques, la certification documentaire, l’échange d’actifs, la numérisation d’œuvres d’art ou encore la création, l’émission et l’échange de cryptoactifs. Nous devons répondre à une question simple, quoique fondamentale pour l’avenir de notre industrie en France : pourquoi une entreprise désireuse de proposer des produits et des services basés sur la technologie blockchain s’établirait-elle en France plutôt qu’ailleurs ? Comment donner aux sociétés l’envie de choisir la France ?

M. Philippe Latombe, rapporteur. Pourriez-vous revenir brièvement sur le principe de fonctionnement de la blockchain et ses usages pratiques, pour éviter de la réduire aux cryptoactifs auxquels certains l’assimilent à tort ? Quelques exemples d’utilisation concrète permettraient à ceux qui nous écoutent de mieux comprendre en quoi elle peut constituer un outil de souveraineté numérique.

M. Rémy Ozcan. Une bonne part des utilisateurs quotidiens d’Internet ne comprend pas son fonctionnement. Mieux vaudrait donc se demander, face à une nouvelle technologie comme la blockchain, ce qu’elle peut apporter.

D’abord, elle garantit la traçabilité de produits de manière à lutter contre la fraude. Une blockchain attribue à chaque produit une empreinte numérique unique, inscrite dans le registre partagé par tous les membres validateurs du réseau, lequel sollicitera la totalité du registre à chaque inscription d’une nouvelle information. Le stockage des données réparties aux quatre coins du monde rend quasiment impossible l’identification d’un dépositaire du registre original et, partant, l’interception ou la modification des informations qu’il contient. La blockchain apparaît dès lors comme un gage de certification dans des secteurs aussi divers que l’agroalimentaire ou le luxe. L’inscription de données dans le registre d’une blockchain les rend non seulement immuables mais surtout consultables par tous ceux qui disposent d’un accès à ce registre. L’usage de la blockchain a été envisagé pour certifier des diplômes ou encore des factures d’électricité afin de lutter contre la recrudescence de documents frauduleux.

Dans le secteur de l’énergie, la blockchain permet aussi d’automatiser une redistribution de l’électricité plus efficiente dans un quartier donné. Elle autorise en outre la création et l’échange rapide et simple de valeurs sans nécessité de passer par un tiers de confiance. Dans une perspective de souveraineté, elle facilite enfin le stockage de données par leur répartition.

Le récent incendie d’OVH a mis en évidence l’extrême centralisation des données. Qu’elle soit le fait de Google, Amazon, Facebook, Apple ou Microsoft (les GAFAM) ou d’entreprises européennes, le moindre problème dans leur stockage rejaillit dans ces conditions sur l’ensemble des utilisateurs. La blockchain distribue au contraire l’enregistrement des données en les chiffrant pour les sécuriser. Autrement dit, chacun peut contribuer à leur stockage en leur réservant de la mémoire sur un appareil électronique. Une fois découpés, les fichiers se répartissent entre les usagers. Le recours à la cryptographie ôte toute valeur à leurs fragments, pris indépendamment les uns des autres. En réalité, la blockchain agrège plusieurs technologies préexistantes, à l’instar de la cryptographie, d’Internet ou de la signature électronique. Ce n’est pas un hasard si notaires et huissiers, en tant que tiers de confiance, souhaitent l’utiliser pour automatiser leur travail et gagner en efficacité.

Dans la pandémie, certains assureurs n’ont étonnamment pas voulu indemniser une part des entreprises contraintes de déposer le bilan. La mise en place de contrats intelligents via une blockchain aurait pu donner lieu à une indemnisation automatisée des assurés sans que nul ne puisse remettre en cause la validité de leurs contrats.

En résumé, la blockchain, en plus de garantir l’intégrité de données, permet d’automatiser des tâches et d’échanger de la valeur dans n’importe quel secteur d’activité. Grâce à la blockchain, des entreprises se financent par des émissions d’actifs numériques (Initial coin offering ou ICO), désormais encadrées par la réglementation française. Ces ICO offrent aux PME une formidable opportunité de numériser leurs actions, dont l’échange, dès lors plus simple et rapide, répond au problème fréquent de liquidité des titres financiers non cotés.

M. Philippe Latombe, rapporteur. Revenons à la traçabilité des informations inscrites dans une blockchain et à l’utilisation de cette technologie par les notaires et les huissiers. Comment la blockchain s’inscrit-elle aujourd’hui dans notre droit ? Je songe bien sûr à l’enjeu de la force probante. Où nous situons-nous en France par rapport à d’autres pays ?

M. Rémy Ozcan. Une ordonnance d’avril 2016 a réglementé pour la première fois cette technologie en lui donnant d’ailleurs une ébauche de définition légale. Cette ordonnance a reconnu la force probante des transactions de minibons, c’est-à-dire de titres financiers non cotés, effectuées via un dispositif électronique d’enregistrement partagé : en l’occurrence, une blockchain.

Ensuite, la loi relative à la croissance et la transformation des entreprises (dite loi Pacte) a fourni un cadre légal à l’usage de la blockchain en matière de financement, via les ICO. Cette loi garantit une relative sécurité juridique aux investisseurs comme aux entreprises souhaitant se lancer dans de telles opérations.

Le code civil ne comporte aucune disposition expresse relative à la force probante des informations inscrites dans un registre blockchain, même si une réforme de ce code pourrait toutefois la consolider à court terme. Lors des travaux préparatoires de la loi Pacte, M. Jean-Michel Mis a déposé un amendement en ce sens, qui n’a malheureusement pas été adopté. Notre code civil doit évoluer pour rassurer les utilisateurs de cette technologie, quel que soit leur corps de métier ou leur secteur d’activité, les huissiers et les notaires y recourant au même titre que les professionnels de l’immobilier. Rappelons que la blockchain permet de « tokeniser » des actifs liquides, autrement dit de leur substituer un élément équivalent, quoique sans valeur intrinsèque, une fois sorti du système. N’importe qui peut dès lors investir depuis son ordinateur dans un bien immobilier à la propriété fractionnée. Là encore, il faudrait apporter une sécurité juridique aux acteurs, qui le réclament d’ailleurs. Il conviendrait d’inscrire dans le code civil que les informations figurant sur le registre d’une blockchain, publique ou privée, possèdent une force probante. Naturellement, il reste à s’accorder sur la nature de la présomption, irréfragable ou simple, qui en découlerait.

Je vois une opportunité à saisir dans la révision prochaine du Règlement sur l’identification électronique et les services de confiance (electronic IDentification, Authentication and trust Services eIDAS). Elle pourrait déboucher sur une reconnaissance officielle de la fiabilité de la signature électronique et de l’horodatage sur une blockchain, sans nécessité qu’intervienne un tiers certificateur, comme c’est encore le cas actuellement.

M. Philippe Latombe, rapporteur. D’autres pays d’Europe ont-ils déjà reconnu la force probante de la blockchain ? Si oui, l’ont-ils fait de manière systématique ou ont-ils créé pour ce faire une profession spécifique ?

M. Rémy Ozcan. Certains pays ont avancé sur la question en adoptant une approche de type sandbox, qui permet de commercialiser services et produits pendant un certain nombre d’années, hors de la contrainte d’un cadre juridique. En somme, les entreprises disposent là d’un premier moyen d’embrasser la technologie blockchain.

Nos voisins européens ne se sont pas réellement penchés sur la question de la force probante. En revanche, Dubaï a reconnu la valeur de preuve de la blockchain, notamment pour la mise à jour du cadastre. En Suisse, l’échange de titres financiers via une blockchain fait foi autant qu’une constatation par un huissier ou un notaire. Certains pays hors de l’Union européenne ont donc démontré leur volonté de tirer les bénéfices de la technologie blockchain.

Nous devons selon moi adopter une attitude pionnière en la matière et ne pas nous montrer timorés. Cette technologie ne suscite-t-elle pas l’intérêt de beaucoup de tiers de confiance, y voyant un moyen de gagner en efficacité dans l’exécution de leurs tâches ? Les notaires et les huissiers souhaitent ainsi l’utiliser, convaincus qu’elle leur fournira un outil plus rapide pour user des prérogatives que leur confère la loi.

M. Philippe Latombe, rapporteur. Toute blockchain, privée ou publique, mérite-t-elle d’acquérir une force probante ? Certaines reposent sur un plus grand nombre d’utilisateurs que d’autres. La réglementation doit-elle prendre en compte les différentes catégories de blockchains ?

M. Rémy Ozcan. Le droit ne doit, à mon avis, pas se contenter d’appréhender ce qui lui préexiste, surtout au vu de l’extrême brièveté des cycles technologiques d’évolution de la blockchain. La réglementation ne parviendra jamais à s’adapter à toutes ses formes d’utilisation. Je préconise une approche souple et flexible.

Si nous voulons donner valeur de preuve aux informations d’une blockchain, il faut d’abord s’assurer de la fiabilité de son protocole et de l’impossibilité pratique de modifier les données du registre, ce qui implique de définir des critères d’architecture du protocole, à l’aune des caractéristiques de la technologie blockchain elle-même. Voilà pourquoi il faudrait créer une certification des blockchains attestant de la présence, dans leur architecture, des spécificités garantes de la robustesse du système. Nous en comptabilisons cinq : la cryptographie, la signature électronique, le registre distribué, l’utilisation d’Internet et un système de « tokenisation ». Il suffit que l’un de ces cinq éléments manque pour que rien ne garantisse plus l’incorruptibilité des données.

Le meilleur moyen d’opérer un tri dans les évolutions encore à venir de cette technologie me semble être de créer une certification, délivrée par une autorité légitime, attestant que l’on a bien affaire à un protocole blockchain plutôt qu’à un système d’information se présentant ainsi, à tort.

M. Philippe Latombe, rapporteur. À quel niveau, national ou européen, faudrait-il mettre en place une telle certification ?

M. Rémy Ozcan. Je suggère de s’en occuper d’abord au niveau national et ensuite seulement européen, puisqu’une certification à un échelon supranational prendra plus de temps à établir. Ce processus par étapes garantirait en outre que les entreprises étrangères désireuses d’aborder le marché français respectent un certain nombre de critères de qualité en matière d’infrastructure, sans pour autant préjuger de la qualité du produit ou du service finalement proposé.

M. Philippe Latombe, rapporteur. La France commerce beaucoup avec l’Allemagne. Des liens forts se sont tissés entre les entreprises de part et d’autre de la frontière. Ne vous paraîtrait-il pas utile d’instaurer d’abord une certification supranationale ? Elle faciliterait les échanges avec nos principaux partenaires à l’intérieur de l’espace européen de libre circulation, en évitant une sorte de balkanisation du droit de la blockchain, dont l’harmonisation ultérieure à l’échelle de l’Union européenne présenterait à coup sûr des difficultés.

M. Rémy Ozcan. Je partage entièrement votre conviction que nous devons concevoir nos ambitions à l’échelle supranationale européenne. Pourquoi, dès lors, ne pas réfléchir à une certification en concertation avec les Allemands ? Je préconise toutefois une approche pragmatique consistant à identifier les secteurs à même de bénéficier au plus vite d’une telle certification. Leur recours généralisé à la blockchain les amènerait ensuite à donner le la aux autres. Un travail pourrait s’effectuer à l’échelle de l’Union européenne, en mobilisant le droit mou, à savoir la normalisation. Rien n’empêche en effet de créer des normes européennes portant sur la souveraineté.

Une bataille se livre en ce moment autour de l’European Telecommunications Standards Institute (ETSI), qui en a profité pour acquérir une position dominante dans l’élaboration de normes numériques à même d’orienter les usages futurs des nouvelles technologies.

Il faut également envisager la souveraineté sous l’angle régalien, en lien avec la gestion de l’identité ou la cybersécurité. Il me semblerait judicieux de se pencher sur ces questions à l’échelle européenne en protégeant notre marché et en donnant confiance aux investisseurs. Nombre d’entre eux, privés, souhaitent investir dans la technologie blockchain. Ils hésitent toutefois, faute de la certitude qu’ils se trouvent bien en présence d’une blockchain. Quoi qu’il en soit, il est indispensable de se saisir de ces questions au plus vite. Nous pourrions rapidement réfléchir à une certification nationale, que nous proposerions ensuite au reste de l’Union européenne.

M. Philippe Latombe, rapporteur. Je ne reviendrai pas sur les débuts de la blockchain. Le rapport de M. Jean-Michel Mis et Mme Laure de la Raudière en a déjà traité. Il me semble que les protocoles blockchain ont au départ beaucoup été utilisés aux États-Unis. Quelle place actuelle la France et l’Union européenne occupent-elles dans leur conception ? Disposons-nous de blockchains d’aussi bonne qualité, voire meilleures, que les plus connues ? Quelles sont nos perspectives de développement technique dans ce domaine ?

M. Rémy Ozcan. L’Union européenne a lancé une initiative à travers la British Standards Institution (BSI) en vue de l’utilisation d’une seule et même infrastructure commune aux pays de l’Union, ce qui leur garantirait une certaine indépendance technologique vis-à-vis de l’étranger. Il faut bien garder à l’esprit la nature open source de la technologie blockchain. Ainsi, n’importe qui peut en réutiliser le code pour concevoir son propre protocole. Bitcoin, la blockchain 1.0, a démontré sa robustesse à travers un premier cas d’usage, le transfert de valeurs. Ethereum a lancé la création d’applications décentralisées et de contrats intelligents dans d’autres secteurs comme la finance, les assurances ou l’industrie traditionnelle, afin d’automatiser des processus.

Malgré le caractère open source de la technologie blockchain, des brevets – et c’est là un point fondamental dont il est trop rarement question – sont déposés, beaucoup plus par des entreprises de Chine ou des États-Unis que d’Europe et, a fortiori, de France. Nous ne nous sommes pas encore lancés dans la course aux brevets. Il n’existe pas, à ce jour, de protocole 100 % français. Faut-il pour autant en développer ? Notre enquête a révélé le souhait d’une grande majorité des acteurs d’utiliser une blockchain française, c’est-à-dire l’architecture mise au point en France, par une entreprise au siège social sis en France, et financée par des investissements français.

Favoriser des liens entre des entreprises disposant d’une expertise de pointe et des instituts de recherche, tels que le Commissariat à l’énergie atomique et aux énergies alternatives (CEA) ou l’Institut national de recherche en informatique et en automatique (Inria), présente un intérêt stratégique évident. Le rapport sur les verrous technologiques et techniques de la blockchain, établi à l’issue de la deuxième réunion de la taskforce blockchain, voici deux ans, l’a d’ailleurs mis en évidence. Il faut impliquer les entreprises, en plus des instituts de recherche, pour mettre au point des protocoles dont nous maîtrisons l’entière chaîne de valeur.

M. Philippe Latombe, rapporteur. L’écosystème a paru s’émouvoir des réglementations récemment adoptées au sujet des cryptoactifs. Pourquoi ? Quelles modifications conviendrait-il de leur apporter pour pallier les critiques, et pour quelle raison ? Comment expliquez-vous les réticences que les cryptoactifs suscitent en France et en Europe? Certains, dans les milieux de la finance ou dans l’appareil d’État, craignent qu’ils servent au blanchiment d’argent et s’en méfient, vu qu’il ne s’agit pas de véritables monnaies.

M. Rémy Ozcan. Ceux qui accusent les cryptoactifs de faciliter le blanchiment d’argent méconnaissent le fonctionnement de la technologie blockchain. Loin de garantir l’anonymat des individus à l’origine des transactions, elle ne leur fournit qu’un pseudonyme permettant de retracer les échanges, de bitcoins par exemple, entre différents portefeuilles. Un faisceau d’indices permet aujourd’hui d’identifier grand nombre de ceux qui utilisent ce type d’actifs.

L’ancien directeur de la CIA a dénoncé une méconnaissance de l’usage de la technologie blockchain et de son fonctionnement. Elle ne contribue que pour une faible part au financement du terrorisme et au blanchiment d’argent. La société Chainalysis, spécialiste de l’investigation dans ces domaines, a publié un rapport révélant un usage bien plus répandu du dollar que des cryptoactifs lors de transactions douteuses.

La cinquième directive de l’Union européenne de lutte contre le blanchiment des capitaux et le financement du terrorisme (LCB-FT) s’applique à l’ensemble des échanges. Les plateformes de négociation de cryptoactifs sont ainsi soumises à la même réglementation KYC-AML (Know your customer et anti-money laundering) que les établissements bancaires tenus de vérifier l’identité de leurs clients.

Enfin, toute technologie est par essence neutre. Il appartient à ses utilisateurs de se montrer responsables. Prenons l’exemple de la Chine, qui, à la différence des autres pays, se sert des nouvelles technologies pour affecter une notation à ses citoyens. N’accusons pas la technologie mais uniquement ceux qui l’utilisent à des fins criminelles. Heureusement, un tel usage demeure extrêmement marginal. Il me paraît important que chacun mène ses propres recherches sur la blockchain pour en cerner le fonctionnement réel. Que penser, par ailleurs, du mandat cash ? Ce service offert par La Poste, une institution aux liens historiquement étroits avec l’État en France, donne lui aussi lieu à des utilisations répréhensibles. Rappelons qu’il est possible d’identifier les individus à l’origine de 99 % des transactions réalisées via une blockchain.

Les prestataires de services sur actifs numériques (PSAN) utilisent les cryptoactifs au même titre que les entreprises souhaitant lancer une ICO (initial coin offering), d’où la nécessité d’harmoniser la définition juridique des actifs numériques et des contrats intelligents. La superposition des définitions actuelles, convoquant par exemple les notions de jeton et de cyberjeton, complexifie inutilement la pratique du droit. Une mise à jour me semblerait la bienvenue.

L’actuelle conception officielle des contrats intelligents par trop réductrice. Ces « automates exécuteurs de clauses » permettent en réalité d’automatiser des transactions sans intervention humaine ni recours à un tiers de confiance. Ils trouvent une application dans le secteur des assurances, où ils déclenchent une indemnisation automatique en cas de sinistre, mais aussi dans le cas d’ICO, puisqu’ils automatisent la création et la distribution de jetons aux investisseurs ainsi que la collecte des fonds. Autrement dit, un contrat intelligent réalise les tâches que propose aujourd’hui la société de financement participatif Kickstarter, à la différence que celle-ci prélève une commission. On comprend dès lors que les PME plébiscitent leur autofinancement via une blockchain.

Revenons au cadre réglementaire applicable aux PSAN, les prestataires de l’un des neuf services sur actifs numériques répertoriés par le code monétaire et financier. Pour opérer, ils doivent, obtenir l’agrément de l’Autorité des marchés financiers (AMF) ou s’enregistrer auprès d’elle. À l’égard de ces PSAN, le législateur a retenu la même approche qu’en ce qui concerne les prestataires de services sur investissement (PSI), imposant aux uns comme aux autres des obligations des plus contraignantes, comme celle de disposer d’un important capital social, d’une assurance responsabilité civile professionnelle, de ressources humaines à l’expertise avérée et, surtout, d’un système d’identification des clients et de repérage des transactions suspectes en vue de les reporter à Tracfin.

Suite aux demandes du Groupe d'action financière (GAFI), le gouvernement français a renforcé les obligations KYC-AML, en décembre 2020, en imposant à l’ensemble des prestataires de les appliquer dès le premier euro échangé. L’étendue d’un tel dispositif exclut de facto, compte tenu de son coût, un certain nombre d’acteurs du marché. L’approche choisie par la France la classe donc malheureusement parmi les pays les plus contraignants pour les prestataires de services financiers recourant à des blockchains.

Il conviendrait en outre de modifier la supervision et l’accueil réservé à ce type d’entrepreneurs par l’AMF. Sa réglementation des PSAN, aujourd’hui bien trop contraignante, implique de trop longs délais de réponse. Une telle inertie conduit nombre de sociétés françaises à partir vers des pays aux juridictions plus souples, comme la Suisse, Dubaï ou Singapour. L’instruction AMF DOC-2019-06 prévoit un délai de vingt jours ouvrés entre la date de dépôt d’un dossier d’ICO et la délivrance d’un visa. Dans la pratique, l’AMF se livre à une préinstruction des dossiers d’une durée de trois à six mois, alors qu’elle-même avait fixé ce délai de vingt jours par souci de se conformer à l’esprit de la loi Pacte, destinée à garantir la compétitivité de la place financière française. Les acteurs du secteur ne peuvent plus compter que sur les élus de la République pour remédier à la situation. Nous espérons un changement des pratiques de l’autorité française de supervision des marchés financiers.

D’autres aspects du droit pourraient eux aussi évoluer. Quand une entreprise souhaite se lancer dans une ICO, l’AMF lui applique le droit de la consommation. Or ce droit concerne les relations entre consommateurs et vendeurs, deux dénominations ne convenant manifestement pas à un investisseur et à l’entreprise qu’il finance.

La situation paraît d’autant plus injuste que le droit de la consommation ne s’applique pas au financement participatif (ou crowdfunding), au capital-investissement (ou private equity), à l’introduction en bourse (IPO) ou encore à l’émission obligataire. Au nom de quoi réserver un traitement à part aux ICO ? L’aberration se manifeste avec encore plus d’éclat quand on songe qu’en vertu de la directive Prospectus, le droit de la consommation ne s’applique pas aux Security token offerings (STO), consistant, selon la définition du code monétaire et financier, à numériser des actifs financiers alors même qu’ils reposent sur la même infrastructure et mobilisent les mêmes outils que l’ICO. Les STO disposent d’un cadre réglementaire adéquat, au même titre que les ICO suite à la loi Pacte.

L’application du droit de la consommation aux ICO entraîne un autre problème. Ce droit prévoit un délai de rétractation de quatorze jours, à l’issue duquel l’intégralité des sommes versées doit être remboursée à la demande du client. Toute transaction via une blockchain donne lieu au prélèvement de frais qui rémunèrent les acteurs chargés de sécuriser et valider les transactions. Un remboursement intégral s’apparente à une double peine pour l’entrepreneur, qui doit assumer lui-même les frais d’utilisation du réseau, alors qu’il n’a finalement pas bénéficié d’un investissement. En résumé, le droit de la consommation s’avère inapte à réguler la technologie de la blockchain, du fait de la nature spécifique des tokens et des modalités de leur offre. Là encore, le législateur doit intervenir pour mettre fin à l’application du droit de la consommation aux ICO.

M. Philippe Latombe, rapporteur. Comment établir un lien entre l’utilisation de la blockchain et la souveraineté numérique française ou européenne ? En quoi la blockchain peut-elle devenir un outil de souveraineté ? Comment l’utiliser pour rebâtir notre souveraineté numérique ? Autrement dit : quel potentiel lui voyez-vous et quel usage en préconisez-vous ?

M. Rémy Ozcan. La question de la souveraineté numérique revêt une importance fondamentale pour l’avenir de notre nation et de nos entreprises. La crise sanitaire a mis en lumière notre forte dépendance économique et technologique vis-à-vis des autres pays et des grandes entreprises étrangères. L’avènement d’Internet et des nouvelles technologies a converti l’espace numérique en l’un des principaux terrains de lutte d’influence économique et politique.

La blockchain peut constituer une arme d’émancipation par rapport aux autres puissances mondiales, dans la mesure où elle permet de créer et d’échanger de la valeur à l’échelle internationale en s’affranchissant du système monétaire de Bretton Woods, plaçant le dollar au cœur du système financier mondial. Ces quinze dernières années, les États-Unis ont manifesté la volonté d’utiliser leur devise pour imposer leur propre réglementation hors de leur territoire. L’Union européenne souhaite aujourd’hui s’émanciper autant que possible de la tutelle des États-Unis. Dans le même temps, le Brésil, la Russie, l’Inde, la Chine et l’Afrique du Sud (les pays BRICS) ont impulsé un mouvement de dédollarisation du système financier mondial.

La Chine a d’ailleurs résolu d’utiliser la technologie blockchain, en tant qu’arme géopolitique, pour accélérer la dédollarisation, qu’elle associe à l’émergence de la Route de la soie. La Russie et la Chine ont en effet établi, à la faveur des changements climatiques, une nouvelle Route de la soie qu’elles souhaitent rendre accessible aux entreprises de toute la planète. Lors du dernier sommet du Groupe des vingt (G20), le dirigeant chinois, Xi Jinping, a estimé nécessaire de soutenir le développement des monnaies numériques de banques centrales (Central bank digital currency : CBDC). Le yuan numérique a dès à présent cours. Les entreprises qui voudront utiliser la route de la soie se verront contraintes d’y recourir en tant que monnaie de règlement des échanges commerciaux internationaux.

Un nouvel ordre financier mondial s’annonce. La technologie blockchain en constituera à n’en pas douter un pilier. Plus de quatre-vingts banques centrales expérimentent actuellement la création de monnaies de banque centrale à l’aide de la technologie blockchain. De telles monnaies présentent l’avantage d’assurer la maîtrise des flux monétaires et de faciliter l’ajustement des politiques monétaires. La simplification de l’échange d’actifs grâce à la technologie blockchain améliore en outre l’efficience économique. Comme cette technologie garantit la traçabilité des transactions, elle contribue enfin à la lutte contre le financement du terrorisme et le blanchiment d’argent.

Cet été, la Banque centrale européenne (BCE) décidera très probablement de créer un euro numérique, qui devrait voir le jour au plus tard en 2025. La technologie blockchain apparaît donc comme une arme de redistribution des cartes du système monétaire et financier international.

La pandémie a entraîné une numérisation massive et rapide des services et des produits. Les prochaines guerres ne se livreront pas sur un terrain terrestre mais dans l’espace numérique. La blockchain permet de sécuriser les échanges et les données en préservant leur intégrité. Autrement dit, il ne suffit pas de les intercepter pour les exploiter. Il faut encore s’approprier leurs clés de lecture, sans lesquelles elles ne présentent aucune utilité. Certains pays l’ont déjà compris : Israël ou la Russie recourent à la technologie blockchain dans le domaine de la cybersécurité.

À l’échelle de l’Union européenne, je préconise la rapide mise en place d’un euro numérique. Il éviterait que nous soit une fois de plus imposée une monnaie étrangère dans le commerce international. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) devrait par ailleurs superviser un recours généralisé à la technologie blockchain pour protéger nos infrastructures et favoriser la commercialisation et le développement de nos produits et services français à l’étranger.

M. Philippe Latombe, rapporteur. Dans quel aspect de la technologie blockchain devons-nous aujourd’hui investir pour affirmer notre souveraineté ? Quel usage de cette technologie faut-il promouvoir en urgence ? Par où commencer ?

M. Rémy Ozcan. Je recommande une approche pragmatique. La souveraineté peut s’envisager sous plusieurs angles. Sous celui de la gestion des données, nous pourrions créer un cloud décentralisé, bien plus sécurisé qu’une base de données centralisée. Combien d’entreprises ont-elles déjà fait l’objet de cyberattaques ? Combien de brèches de sécurité ont-elles déjà entraîné des fuites de données ? Combien d’exemples de piratages faudra-t-il encore avant que nous admettions notre vulnérabilité ? La blockchain permet de mettre fin à la dépendance vis-à-vis des GAFAM en matière de traitement et de stockage des données. Certaines entreprises l’ont déjà compris.

En matière de gestion de l’identité digitale, la blockchain permet d’attribuer à chaque individu un identifiant unique à l’abri des contrefaçons. Le ministère de l’intérieur a lancé un groupe de travail auquel j’appartiens. Son livre blanc, dont la parution ne saurait tarder, ambitionne de mettre en évidence l’intérêt de la blockchain dans la gestion des identités, notamment en vue des Jeux olympiques et paralympiques de 2024. Face à un afflux massif de personnes sur notre territoire, nous devons disposer de bases de données mondiales pour démasquer les individus usurpant l’identité d’un tiers ou susceptibles de menacer la sécurité de nos concitoyens. De telles informations peuvent s’échanger via une blockchain sans qu’elles soient révélées dans leur intégralité.

En résumé, les bénéfices les plus évidents du recours à la blockchain passent par la création d’un cloud décentralisé et d’une identité digitale sécurisée ainsi que par les échanges d’informations à l’abri des cyberattaques en vue de préserver l’intégrité du territoire et la sécurité de ses ressortissants.

M. Philippe Latombe, rapporteur. Quelle place la blockchain occupe-t-elle actuellement dans notre économie ? Je ne songe pas ici à sa valeur en termes de produit intérieur brut (PIB) mais à ses usages actuels. Quels projets sur le point d’aboutir pourraient apporter une visibilité à cette technologie auprès de nos concitoyens ? Nous avons beaucoup parlé jusqu’ici de l’État et des entreprises, moins, cependant, des apports de la blockchain à nos concitoyens dans leur quotidien. Or il est indispensable de les impliquer dans les enjeux de souveraineté.

M. Rémy Ozcan. Les pouvoirs publics assument un rôle majeur : ils montrent la voie. Entre autres caractéristiques, la blockchain présente celle de l’immuabilité. Les informations, une fois validées dans le registre, deviennent impossibles à effacer. La blockchain assure un gain de temps et d’efficacité à l’usager comme aux services publics.

Cette technologie permettrait d’accélérer la numérisation de l’administration par la dématérialisation des documents « papier ». Suez, membre de notre fédération, œuvre dans l’économie circulaire et recourt à la blockchain pour assurer un traçage plus efficace des déchets et une meilleure inclusion des acteurs du secteur. Dans le même esprit, la numérisation des bordereaux de suivi des déchets réduirait la charge administrative qui pèse autant sur les pouvoirs publics que sur le secteur privé.

La blockchain faciliterait en outre, en l’automatisant, la mise à jour de registres comme celui du cadastre ou des actionnaires des sociétés non cotées. 85 % de la richesse créée en Europe provient des PME. Pourtant, celles-ci souffrent de difficultés de financement. La blockchain leur apporterait une solution, via la diversification de leurs investisseurs.

La mise en place d’un système de vote traçable et transparent au moyen d’une blockchain favoriserait une meilleure inclusion des citoyens dans les processus démocratiques. Le mouvement des Gilets jaunes a révélé une fracture grandissante entre les élus et ceux qu’ils représentent. La technologie blockchain apparaît comme un formidable outil pour restaurer la confiance. Grâce à elle, chacun pourrait constater, sans nécessité de s’appuyer sur la garantie d’un tiers, que son vote a bien été comptabilisé, ce qui limiterait l’abstention, révélatrice d’un problème démocratique. La mise en place d’un tel système de vote ne prendrait que quelques mois. Notre fédération se montrerait ravie de vous prêter son concours.

Le respect du code des marchés publics se révèle aujourd’hui marginal. Une entreprise répondant à un appel d’offres, pour peu qu’elle sache à qui s’adresser, obtiendra connaissance des offres concurrentes. Nous ne disposons pour l’heure d’aucun moyen de garantir la transparence dans la passation des marchés publics, hormis la blockchain, qui éviterait aux PME de se retrouver défavorisées par rapport aux grandes entreprises au carnet d’adresses mieux garni.

La France pourrait transmettre ces propositions et bien d’autres encore à l’occasion de sa présidence du Conseil de l’Union européenne au premier semestre 2022. La qualité de vie de nos concitoyens s’en trouverait améliorée, de même qu’en sortirait renforcée la confiance dans les élus et les institutions, mise à mal par les crises sanitaire et économique actuelles.

M. Philippe Latombe, rapporteur. La technologie blockchain et ses usages vous semblent-ils à même de générer un écosystème qui contribue à la souveraineté et inclue, en son sein, des dispositifs, voire une filière de formation ? En somme, cet écosystème doit-il s’intégrer à ceux, déjà en place, des start-up ou des nouvelles technologies ? Constituera-t-il plutôt un écosystème à part ? Dans quel cadre dispenser des formations à la blockchain, au vu de la multiplicité de ses usages ?

M. Rémy Ozcan. Nous avons établi le constat, partagé par M. le député Jean-Michel Mis, d’une excessive fragmentation de l’écosystème de la blockchain. Ses usages actuels dépassent largement celui des cryptoactifs, sa première application historique.

Nous avons opté pour une approche plurisectorielle, puisque chaque secteur d’activité dispose de sa propre réglementation et que l’usage de la blockchain varie considérablement de l’un à l’autre. Ceci explique que notre fédération accueille des sociétés œuvrant dans des domaines aussi différents que ceux d’EDF, Suez ou Orange. Le meilleur moyen de favoriser l’utilisation et le développement de la blockchain reste encore de respecter les spécificités de chaque branche pour amener leurs acteurs à saisir en quoi cette technologie peut faciliter l’extension de leurs activités en les aidant à créer des produits et des services à même de leur en apporter les bénéfices.

Il n’existe à ce jour aucune formation certifiante, reconnue par l’État, qui atteste une expertise en matière de technologie blockchain. La Commission européenne a partagé ce constat. Elle a d’ailleurs commandé, par l’intermédiaire d’un consortium baptisé le projet CHAISE, auquel je participe en tant que directeur général de ma société Crypto4All, une étude visant à définir les besoins des acteurs de l’écosystème de la blockchain pour proposer des formations qui y répondent. L’étude menée par notre fédération, achevée en octobre dernier, a montré que près de 65 % des entreprises souhaitent recruter à court terme des experts des blockchains, aussi bien développeurs ou architectes que commerciaux ou analystes.

Il faut donc qu’évoluent les offres de formation des écoles de commerce et des universités afin que ces entreprises disposent d’une main-d’œuvre maîtrisant la technologie blockchain. Celle-ci ne survivra qu’à la condition que des individus continuent à l’utiliser, la comprendre et la commercialiser. Notre fédération associe les universitaires aux entrepreneurs en vue de la conception d’une offre de formation en adéquation avec les besoins du marché.

M. Philippe Latombe, rapporteur. Faut-il institutionnaliser ces formations dès le départ ? Les entreprises qui en ressentent le besoin ne devraient-elles pas plutôt les organiser elles-mêmes, dans un premier temps, quitte à se regrouper, en préalable à la création d’une filière spécifique ?

M. Rémy Ozcan. Je recommande la même approche pragmatique que celle du gouvernement lorsqu’il a modifié les enseignements du primaire, du collège et du lycée en vue d’une meilleure adéquation avec le marché du travail, tel qu’il est appelé à évoluer au cours des dix prochaines années. Le ministère de l’éducation devrait inciter écoles et universités à intégrer dans leur offre de formation des modules blockchains. Les entreprises ne demandent qu’à dispenser leur expertise en la matière dans un tel cadre.

Il conviendrait de délivrer des formations à tous les corps professionnels, aussi bien aux métiers du droit, à l’École nationale de la magistrature (ENM), qu’à ceux de l’immobilier. Comment avocats et juristes pourraient-ils conseiller les entreprises sans comprendre le fonctionnement de la blockchain ? Une approche par corps de métier donnerait lieu à une sensibilisation progressive à l’impact de la technologie blockchain pour chaque secteur. À la seule condition de disséminer et d’augmenter la qualité de l’expertise dans ce domaine, nous réussirons à convertir la France en « blockchain nation ».

M. Philippe Latombe, rapporteur. Souhaitez-vous évoquer un point que nous aurions omis d’aborder ? Quelles préconisations du rapport de M. Jean-Michel Mis et Mme Laure de la Raudière n’ayant pas été adoptées, ou du moins pas à temps, ou pas complètement, faudrait-il de nouveau mettre en avant ? J’aimerais en quelque sorte établir un point d’étape pour nous rendre compte de ce qu’il reste à implémenter afin d’aller au bout de la démarche entamée.

M. Rémy Ozcan. Je conseillerais d’abord de reprendre l’amendement déposé à l’occasion des travaux préparatoires de la loi Pacte, en vue d’établir la force probante des informations inscrites dans une blockchain. Notre fédération se tient à votre disposition pour aider le législateur à déterminer les types de protocoles suffisamment fiables, ou même proposer une définition de la technologie blockchain plus complète que l’actuelle. L’ordonnance du 28 avril 2016 caractérise en effet cette technologie comme un dispositif d’enregistrement électronique partagé, sans prendre en compte l’étendue de ses cas d’usage. Ces deux mesures rassureraient un certain nombre d’acteurs.

Lors de son audition par Mme la députée Typhanie Degois, à l’occasion de l’examen du projet de loi de finances 2021, notre fédération avait en outre demandé à disposer de systèmes de financement dédiés aux acteurs de la blockchain. Leur mise en place indiquerait clairement aux investisseurs comme aux entrepreneurs le soutien des pouvoirs publics à la blockchain, indépendamment de la somme qu’ils lui consacreraient. L’éligibilité des projets blockchain à des dispositifs en faveur de l’innovation tels que le Programme d’investissements d’avenir (PIA) ne suffit pas. La confiance joue un rôle fondamental dans les affaires. Dès lors que les acteurs jugeront la technologie blockchain fiable, ils développeront grâce à elle de nouveaux produits et services favorables à la croissance de l’emploi.

La mise en place des trois éléments que je viens d’indiquer, associée à celle de formations adaptées, marquerait un grand pas en avant vers la professionnalisation de l’industrie de la blockchain.

M. Philippe Latombe, rapporteur. Nous accueillerons volontiers vos suggestions quant à la force probante. Nous y reviendrons lors d’autres auditions à venir.

Souhaitez-vous aborder un dernier point ?

M. Rémy Ozcan. J’aimerais revenir sur les moyens d’aider les entreprises de la blockchain.

D’abord, nous devons renforcer notre capacité de contribution à leur financement. Ensuite, il faudra instaurer un cadre réglementaire intelligible favorable à l’utilisation de cette technologie. Enfin, il serait bon qu’évoluent les pratiques de place des autorités de supervision. Si celles-ci persistent à ne pas traduire, dans la pratique, l’état d’esprit de la loi, le sentiment viendra qu’une fois de plus, la France ne se sera pas montrée à la hauteur de ses ambitions. Le gouvernement a manifesté à plusieurs reprises sa volonté, partagée par l’ensemble des acteurs, de faire de notre pays une « blockchain nation », ce pour quoi ils se sont mobilisés et structurés autour de la FFPB.

Celle-ci reste à la disposition des pouvoirs publics pour échanger en vue du développement d’un écosystème structuré, en voie de professionnalisation et en adéquation avec l’évolution de notre économie. J’ai indiqué des actions à mener dans l’intérêt des entreprises. Cependant, la question mérite qu’on y réfléchisse du point de vue des particuliers.

Un abattement fiscal de 50 % du montant investi dans une ICO en cas de conservation des actifs pendant une durée de deux ans, le temps, pour une entreprise, de mener à terme un projet puis de le commercialiser, inciterait à investir dans les PME recourant à ce type d’opération pour se financer. Une mesure similaire porte déjà sur les actions émises par les PME.

L’imposition à taux unique des particuliers ayant investi dans les cryptoactifs avoisine les 30 %. Certes, ce taux frôlait auparavant les 50 %, mais il conviendrait que la France s’aligne sur les autres pays. Nos voisins européens s’en tiennent à des taux d’imposition bien plus faibles. Le calcul de la plus-value, d’une grande complexité, repose sur l’établissement de moyennes. Le formulaire n°2086 de déclaration des plus ou moins-values de cessions d’actifs numériques apparaît mal adapté à la réalité des mouvements de cryptoactifs. Il autorise à déclarer cinq opérations seulement, un nombre de transactions qu’il n’est pas rare d’opérer en l’espace d’une journée. Il reste en outre à éclaircir la notion d’activité occasionnelle et à titre habituel. Les plus-values réalisées à l’issue d’investissements dans des cryptoactifs, par le biais d’ICO ou de PSAN établis en France ou à l’étranger, pourraient être exonérées d’impôts à condition qu’elles soient consacrées à l’achat de biens ou de services, sur lesquels l’État prélève 20 % de taxe sur la valeur ajoutée (TVA). Une telle mesure favoriserait l’adoption des cryptoactifs par les commerçants. Rappelons que l’euro numérique verra le jour au plus tard en 2025. L’Allemagne elle-même a opté pour une telle approche pragmatique.

Un cadre réglementaire et fiscal adapté, ajouté à des pratiques de place en adéquation avec nos ambitions, ainsi qu’au soutien des pouvoirs publics et des investisseurs privés, permettrait à la France d’occuper une place majeure dans la compétition internationale déjà bien entamée dans le domaine de la technologie blockchain.

M. Philippe Latombe, rapporteur. Une collègue ayant dû quitter la réunion s’interrogeait sur l’empreinte carbone et la consommation d’énergie de la technologie blockchain. Existe-t-il des projets pour les limiter ? La technologie blockchain est-elle compatible avec la réduction des émissions de gaz à effet de serre ? Nous apprécierions une réponse écrite à ces questions, que le temps nous manque de traiter.

M. Rémy Ozcan. Je vous rassure, il existe une multiplicité de protocoles parfaitement compatibles avec le souci de l’écologie, à la différence du protocole bitcoin, encore que de récentes études aient démontré une surévaluation de sa consommation énergétique. Notre réponse vous parviendra par écrit ces jours prochains.

Audition, ouverte à la presse, de M. Sébastien Dupont, président co-fondateur d’UNIRIS et de M. le général d’armée Grégoire de Saint-Quentin, président du cabinet de conseil Petra advisors et ancien conseiller du gouvernement pour la défense (22 avril 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Nous auditionnons M. Sébastien Dupont, président co-fondateur d’UNIRIS, ainsi que M. le général d’armée Grégoire de Saint-Quentin, président du cabinet de conseil Petra advisors et ancien conseiller du gouvernement pour la défense.

Cette audition publique s’inscrit dans nos travaux sur les technologies numériques de pointe, dont la blockchain fait partie. UNIRIS est une start-up issue de l’incubateur de Paris-Saclay. Elle propose une solution biométrique, couplée à une blockchain, permettant de s’identifier sans login ni mot de passe. Son périmètre d’action inclut nombre de sujets qui nous intéressent, depuis l’identité numérique auto-souveraine au contrat intelligent en passant par le vote sécurisé à distance.

Je souhaite évoquer trois sujets à titre liminaire. D’abord, je vous poserai ma question rituelle : quelle est votre approche de la souveraineté numérique ? Il en existe une grande diversité de définitions. Quelle est la vôtre ? En quoi la blockchain peut-elle constituer un levier de souveraineté, autant pour la France que pour l’Europe ? J’aimerais à cette occasion que vous nous présentiez UNIRIS, votre blockchain et ses cas d’usage.

Mon second point portera sur le développement en France d’un écosystème blockchain performant. La création d’UNIRIS au sein de l’incubateur Paris-Saclay vous permet de porter un regard lucide sur la capacité de notre pays à soutenir et financer les entreprises technologiques. J’aimerais que vous évoquiez le parcours d’UNIRIS et les difficultés éventuelles que vous avez pu rencontrer. Comment jugez-vous l’action des pouvoirs publics dans ce domaine, alors que le gouvernement a pris l’initiative, avec les acteurs du secteur, d’une stratégie nationale blockchain ? Notre mission accueillera volontiers toute proposition de votre part en vue de soutenir le développement des entreprises technologiques spécialistes de la blockchain.

Enfin, je désire que nous échangions sur la blockchain d’un point de vue européen. D’une part, je me demande comment la France se situe dans ce domaine par rapport à ses voisins. D’autre part, je souhaite vous entendre à propos des actions de soutien à la blockchain menées par l’Union européenne, en vue notamment de réguler les cryptomonnaies. Nous aurons ainsi l’occasion d’évoquer l’enjeu crucial de la force probante de la blockchain.

M. Sébastien Dupont, président co-fondateur d’UNIRIS. J’assimile la souveraineté numérique à la capacité à contrôler ses données numériques, autrement dit, à un niveau politique, supra-individuel, national, au fait de ne pas dépendre du bon vouloir d’autres puissances économiques ou politiques dans l’usage des outils numériques. Concrètement, cette souveraineté consiste à disposer d’un endroit neutre où mettre en œuvre ces outils numériques.

M. le général d’armée Grégoire de Saint-Quentin, président du cabinet de conseil Petra advisors et ancien conseiller du gouvernement pour la défense. J’accompagne M. Sébastien Dupont, car je suis convaincu de l’impact réel de la blockchain sur la souveraineté numérique. Nous devrions, grâce à son exposé, approcher d’une définition assez précise de cette notion.

M. Sébastien Dupont. À l’issue d’une formation d’ingénieur en cybersécurité, j’ai été en charge de l’identité numérique chez Thales et Orange avant de fonder UNIRIS, entreprise que je dirige actuellement. Sa création répond au besoin fondamental de rendre accessible au plus grand nombre une technologie sécurisée, via une identité numérique universelle inviolable, dans un environnement numérique de confiance à même de garantir la souveraineté des individus, des entreprises et des États.

Nous comptons, pour y parvenir, créer une fondation chargée de rendre notre technologie open source. UNIRIS détient douze brevets, dont certains déposés en France, et emploie quinze salariés. Nous travaillons en partenariat avec l’École polytechnique et le centre national de la recherche scientifique (CNRS), qui nous apportent une aide immense. Nous avons reçu, entre autres distinctions, le label du comité stratégique de filière « industries de sécurité » pour les Jeux olympiques de Paris de 2024. Notre financement actuel repose en grande part sur des investissements personnels, ou de particuliers impliqués dans la défense de la souveraineté.

Aujourd’hui, un simple accès à nos e-mails nous oblige à passer par une infinité d’intermédiaires que nous ne connaissons pas. Nous ne nous rendons plus compte du nombre de personnes ou de logiciels, hors de notre contrôle, disposant d’un accès à nos données. Les États-Unis et la Chine détiennent l’ensemble des intermédiaires. Chaque connexion au web, chaque transaction en ligne dépendent du bon vouloir des États-Unis. Même en Europe, nous sommes soumis à ces deux grandes puissances. Il n’est plus temps de créer des entreprises concurrentes de Google, Apple, Facebook, Amazon et Microsoft (les GAFAM), ce qui, de toute façon, ne résoudrait pas le problème sur le long terme. La seule solution à notre dépendance réside dans un environnement numérique neutre, autrement dit dans la blockchain.

Ce système entièrement décentralisé permet à chacun de regagner le contrôle. Depuis sa conception en 2009, il a fait ses preuves et ne cesse de s’améliorer. Citons, parmi ses caractéristiques, sa neutralité, qui le rend insensible à toute ingérence humaine. Des algorithmes mathématiques garantissent son incorruptibilité. La blockchain résiste en outre aux cyberattaques, puisque son principe fondateur, selon lequel le moindre de ses composants pourrait en théorie faillir, se traduit par une exigence de parfaite transparence. Les blockchains se comptent parmi les environnements numériques les plus sécurisés.

UNIRIS a amélioré la technologie de la blockchain, de façon à mieux l’adapter aux besoins actuels. La blockchain UNIRIS est ainsi en mesure de traiter un million de transactions par seconde, contre dix seulement pour la blockchain bitcoin. Notre travail avec le CNRS sur nos algorithmes mathématiques a augmenté notre sécurité, d’un niveau désormais égal au secteur de l’aviation. Notre consommation énergétique est trois milliards de fois moindre que celle de la blockchain bitcoin.

Nous avons travaillé sur l’accessibilité de la blockchain au plus grand nombre en recourant à la seule solution envisageable, la biométrie, qui évite le recours aux logins et mots de passe. Les solutions biométriques actuelles, du fait qu’elles impliquent le stockage de données en vue de la comparaison d’empreintes, s’avèrent incompatibles avec le Règlement général sur la protection des données (RGPD). La blockchain UNIRIS, elle, s’y conforme en tout point, puisqu’elle s’appuie sur les particularités du réseau veineux propre à chaque individu pour générer des clés cryptographiques uniques. Nous avons créé un portefeuille d’identités numériques universel à même de stocker une infinité d’identités numériques. La certification de l’une d’elles par l’État en France permettrait, par exemple, de remplacer le passeport ou de procéder au règlement des impôts. Des services de santé pourraient aussi y recourir.

Les contrats intelligents impliquent de programmer une blockchain pour exécuter automatiquement certaines actions comme l’envoi, au moment du versement de salaires, d’informations à une caisse de retraite, à la sécurité sociale ou à l’Union de recouvrement des cotisations de sécurité sociale et d’allocations familiales (URSSAF). Il ne resterait plus ensuite à l’État qu’à vérifier ces informations. Un contrat intelligent permettrait aussi, au quotidien, de déclencher un chauffage en fonction de la température extérieure.

Notre blockchain publique verra le jour dans quelques semaines. Il est prévu de l’appliquer à la gestion de données de santé, de villes intelligentes ou d’événements sportifs. Nous nous concentrons pour l’heure sur les briques essentielles à la création d’un Internet de confiance, qui passe par l’identité numérique, l’hébergement de sites web et des e-mails sécurisés.

Le gouvernement indien a mandaté UNIRIS pour mettre au point une solution de traitement de transactions bancaires à même de remplacer Visa et Mastercard. Il n’existe pas, en dehors d’UNIRIS, de blockchain ou de réseau centralisé capable de gérer les transactions de plus d’un milliard de personnes.

Un réseau blockchain se constitue de dizaines de milliers de mineurs hébergés sur toute la planète chez des particuliers désireux de contribuer à la sécurité du réseau. La nécessité s’est fait jour de dédommager ces contributeurs sans préjudice pour l’autonomie du système. La cryptomonnaie n’a jamais eu pour vocation de concurrencer les devises existantes. Elle propose une alternative fondée sur la réalité du marché, indépendamment de toute décision humaine.

À l’instar des actions boursières, la cryptomonnaie joue un rôle complémentaire par rapport aux autres devises. Elle ne possède de valeur que dans le monde virtuel. Son usage dans le monde réel oblige à la convertir en une autre devise, tel l’euro. Elle ne sert en somme qu’à faciliter et sécuriser les échanges entre les mondes réel et virtuel. Loin de constituer une fin en soi, elle ne relève que d’une nécessité pour garantir le fonctionnement de ce bien commun numérique qu’est la blockchain.

La quasi-totalité des fonds d’UNIRIS provient de ses fondateurs et de particuliers ainsi que d’un prêt de la banque publique d’investissement (Bpifrance). Nous collaborons étroitement avec des dizaines d’entreprises et d’administrations. La lourdeur de la réglementation des marchés publics rend impossible tout autofinancement d’une jeune entreprise par des commandes.

Nous avons toutefois bénéficié de la disponibilité sans faille de l’Autorité des marchés financiers (AMF) et du ministère de l’économie, des finances et de la relance, notamment à propos de l’application aux cryptomonnaies de la taxe sur la valeur ajoutée (TVA). Un cadre réglementaire incertain fait peser sur les entreprises blockchain un risque constant, qui pénalise lourdement leur fonctionnement quotidien.

La dilution dans les administrations intermédiaires des fonds publics destinés aux start-up les empêche au final d’en profiter. Celles que financent des fonds d’investissement dotés par l’État se voient contraintes de négocier leur revente dans un délai de cinq ans, idéalement aux GAFAM, ce qui s’avère un comble.

Enfin, les entreprises blockchain doivent supporter le risque permanent d’une clôture ou d’un gel arbitraires de leurs comptes par les banques françaises. Les entreprises blockchain jouent cependant un rôle clé dans la protection, et la souveraineté nationale, des entreprises et des citoyens. Elles proposent une technologie capable d’optimiser l’administration en la rendant plus efficace. Cette technologie bouleverse les conceptions actuelles de la souveraineté et de la protection. Il n’est plus possible d’ignorer la révolution industrielle qu’elle opère à l’échelle mondiale.

En tant que technologie de confiance éprouvée, la blockchain entraînera, en effet, inévitablement, une révolution. Les géants actuels de la blockchain viennent, pour ne pas changer, d’Asie et des États-Unis. Coinbase est désormais cotée à Wall Street. La Chine détient des coopératives de mineurs bitcoin. En Corée du Sud, 80 % de la population utilise la cryptomonnaie. La France risque une fois de plus de voir sa technologie lui échapper au profit d’autres puissances, alors même que celle-ci pourrait lui permettre de reprendre la place qui lui revient sur la scène internationale.

La technologie de la blockchain apparaît d’autant plus stratégique qu’elle pourrait neutraliser notre dépendance aux outils numériques fournis par d’autres puissances. La France doit accueillir cette technologie pour rattraper le train en marche. Malgré l’enjeu stratégique, la majorité des investissements proviennent encore de particuliers. L’État doit s’impliquer davantage en soutenant les solutions stratégiques pour la protection et la souveraineté numériques. Il apparaît urgent que les banques françaises acceptent enfin les fonds provenant d’échanges sur des plateformes agréées par l’AMF. Des intermédiaires comme Bpifrance devraient passer des commandes plutôt que d’accorder des prêts ou des subventions. Faute de mesures concrètes, UNIRIS ne pourra plus, d’ici quelques mois, payer ses salariés, ce qui contraindra l’entreprise à se domicilier à l’étranger pour survivre.

M. Philippe Latombe, rapporteur. Vous avez consacré une part notable de votre présentation aux cryptomonnaies. Que préconisez-vous aujourd’hui, techniquement, sur le plan législatif ou réglementaire, pour lever les freins à leur usage ?

M. Sébastien Dupont. Il nous est pour l’heure impossible d’inscrire nos avoirs sous forme de cryptoactifs sur les comptes de notre société, sous peine de leur gel par les banques françaises. Une première mesure d’urgence consisterait à lever ce frein.

M. Philippe Latombe, rapporteur. Les banques adoptent là une position de principe. La loi ne les contraint pas à geler les comptes approvisionnés par des cryptoactifs.

M. Sébastien Dupont. Une partie de nos cryptoactifs a transité par PayPal, qui nous a accusés de violation de son contrat d’utilisation, alors que celui-ci ne contenait aucune disposition à ce sujet. PayPal a gelé la totalité de nos avoirs. Le risque existe qu’une banque, faute de savoir à quel texte réglementaire s’en tenir, décide de geler nos comptes par prudence, ce qui nous place dans une situation compliquée en termes de versement des salaires et de règlement des impôts.

M. Philippe Latombe, rapporteur. À quelle somme en euros correspond le flux de cryptoactifs que vous souhaiteriez convertir chaque mois ?

M. Sébastien Dupont. Il nous faudrait convertir, au moins pour payer nos salariés, une centaine de milliers d’euros chaque mois, soit une manne qui nous reste pour l’heure inaccessible.

M. Philippe Latombe, rapporteur. Comment interprétez-vous la vision des cryptoactifs que nourrissent l’État, et plus généralement les entités publiques ? Inspirent-ils de la défiance ? L’expliquez-vous par une méconnaissance de leur fonctionnement ?

M. Sébastien Dupont. La crise sanitaire que nous traversons met à mal le système traditionnel. La crainte existe d’une conversion en cryptomonnaie d’une part de l’épargne susceptible d’être réinjectée dans l’économie sous forme d’euros. En réalité, les cryptomonnaies fonctionnent comme toute autre devise. À ce titre, elles permettront, sans que l’État ait à débourser le moindre centime, de financer la révolution industrielle qui se prépare.

L’engagement de M. Bruno Le Maire à recourir à une blockchain à l’occasion des JO témoignait d’une volonté des pouvoirs publics de se saisir de cette technologie. La situation a toutefois changé depuis. Elle empire au point que tous les acteurs de la blockchain en France se tournent aujourd’hui vers l’étranger.

M. Philippe Latombe, rapporteur. Revenons à la commande publique. Plutôt que de recevoir des subventions, les entreprises préfèrent étendre leur clientèle, car elles y trouvent, outre un bénéfice financier, une occasion de se confronter au réel en adaptant leurs produits aux besoins des commandes. Comment créer un marché pour une technologie de rupture, telle que la blockchain, alors même que les besoins de l’État ou des collectivités territoriales restent à définir ? Comment susciter un besoin qui incite à recourir à UNIRIS ?

M. Sébastien Dupont. Les pratiques anglo-saxonnes en la matière font école aujourd’hui. Il faut commencer par écouter le client. Le plus délicat reste de trouver un interlocuteur valable, qui nous explique son problème. Lui fournir ensuite une solution à partir du protocole, assorti d’outils, mis au point par notre entreprise, ne présente pas tant de difficultés.

Aujourd’hui, les acheteurs des administrations ou des entreprises que nous rencontrons ignorent ce qu’il leur faut vraiment. Si les détenteurs de solutions potentielles pouvaient directement s’entretenir avec ceux qui ont cerné les difficultés, il ne manquerait plus qu’un acteur comme Bpifrance pour faciliter le financement. Imposer aux start-up un seuil de dispense de procédure pour la passation d’un marché public fixé à 25 000 euros place celles-ci dans l’obligation de dépenser la totalité de cette somme pour fournir une solution, ce qui ne leur permet que de survivre et non de se développer.

M. Philippe Latombe, rapporteur. Vous laissez entendre que Bpifrance, au-delà de son appui financier, devrait passer des commandes publiques. Or son statut de banque ne le lui permet pas, du fait de la législation européenne. Comment, dès lors, éduquer l’État aux nouvelles technologies ? Comment l’inciter à les utiliser dans sa transformation ?

M. Sébastien Dupont. Il manque une structure administrative intermédiaire. J’ai certes émis l’idée, plus tôt, que la quantité de structures existantes rend l’écosystème étouffant. Il faut discuter avec une dizaine d’entre elles avant d’obtenir la moindre commande. Néanmoins, il serait formidable que voie le jour une structure en mesure d’indiquer quels enjeux de souveraineté la blockchain pourrait résoudre et dans quel cadre procéder à des expérimentations avec les entreprises.

M. Philippe Latombe, rapporteur. Général, faut-il en conclure à la nécessité de modifier la structure de l’État en ce qui concerne le numérique ? Un secrétariat d’État à Bercy vous paraît-il suffisant ? La Direction interministérielle du numérique (DINUM) joue-t-elle bien son rôle ?

Gal Grégoire de Saint-Quentin. Je ne me considère pas comme le mieux à même de répondre à une telle question. Mon expérience au ministère des armées, à l’origine d’importantes commandes publiques, m’a permis de constater un manque d’agilité et de flexibilité par rapport à des cycles technologiques d’une extrême rapidité. La rigidité de l’établissement de trop nombreux budgets ne permet pas d’en réserver une part significative à des solutions de rupture. Or, pour passer des commandes, il faut de l’argent disponible. Les start-up progressent moins vite grâce aux subventions qu’aux commandes, car celles-ci donnent confiance aux investisseurs. Il conviendrait de flexibiliser le système.

M. Philippe Latombe, rapporteur. Que vous inspire la situation de l’identité numérique en France ?

M. Sébastien Dupont. Je la qualifierais de catastrophique. En tant que chef d’entreprise, je dois gérer des identités numériques professionnelles, en plus des personnelles, à n’en plus finir. À titre d’exemple, il m’a fallu plusieurs semaines pour trouver, après la perte d’un mot de passe, un interlocuteur qui me permette de récupérer la main sur celle que j’utilise pour le fisc. La situation pose un véritable problème. Déjà pénible pour l’utilisateur, elle oblige à utiliser des outils potentiellement minés par des failles de sécurité. L’identité numérique ne me semble pour l’heure pas du tout adaptée à la nature humaine. En effet, nous ne sommes pas des machines capables de stocker des quantités de logins et de mots de passe. L’être humain ne doit pas devenir esclave de la technologie. Il faut au contraire qu’il puisse s’en servir de manière indolore et sécurisée.

M. Philippe Latombe, rapporteur. Nous avons auditionné, voici peu, l’agence nationale des titres sécurisés (ANTS), la société IDEMIA et la directrice du programme interministériel France Identité numérique. Il existe une volonté forte d’accélération de la part de l’État dans ce domaine. La carte nationale d’identité électronique, annoncée par l’Imprimerie nationale comme le réceptacle d’identités numériques futures, devrait bientôt voir le jour. Comment vous inscrivez-vous dans ce processus ?

M. Sébastien Dupont. Nous menons un travail en lien avec l’Imprimerie nationale. Nous œuvrons dans la technologie profonde, redéveloppant toutes les couches réseaux et le hardware. Notre désir d’être présents sur tous les fronts en même temps consomme une part considérable de nos ressources. Malgré notre volonté de nous impliquer, nous ne pouvons pas siéger dans toutes les commissions.

M. Philippe Latombe, rapporteur. Le déploiement de la carte nationale d’identité électronique ne devrait plus tarder. Elle comportera une puce accueillant des données relatives à des identités numériques publiques ou privées. Comment, selon vous, s’articuleront les deux ? Reviendra-t-il au titulaire de la carte de décider quel type d’identité numérique il y stockera ? L’État imposera-t-il ses décisions, via des marchés publics auxquels vous devrez répondre par une offre ? Comment ce marché émergent de l’identité numérique vous apparaît-il ? Craignez-vous une préemption de la part d’acteurs semi-publics tels que l’Imprimerie nationale ?

M. Sébastien Dupont. Il me semble inévitable qu’une entité proche du gouvernement héberge la carte d’identité nationale. La question porte plutôt sur le moyen d’y accéder. Des solutions biométriques apparaissent valables et sensées. Les utiliser pour accéder aussi bien à la carte officielle délivrée par l’État qu’à d’autres identités numériques réconcilierait les secteurs public et privé.

M. Philippe Latombe, rapporteur. Vous répondriez donc à un appel d’offres ?

M. Sébastien Dupont. Les entreprises du secteur informatique travaillent beaucoup sur les architectures. Nous commençons en général par réunir un maximum de personnes pour réfléchir à l’interaction des différentes composantes d’un projet avant de le lancer. Dès lors qu’existent différents types de solutions, il est préférable d’envisager le moyen pour chacun de les mobiliser. Il pourrait être intéressant de participer à des groupes de travail consacrés à la rationalisation et à la sécurisation de ces différentes identités.

M. Philippe Latombe, rapporteur. UNIRIS recourt à la technologie blockchain encore peu utilisée par l’État. Certains la jugent absconse, d’autres la réduisent aux cryptoactifs. Comment une technologie encore aussi mal comprise peut-elle matériellement trouver sa place dans la carte nationale d’identité ?

M. Sébastien Dupont. Cette carte contiendra une clé privée cryptographique d’accès à tous les services imaginables. Héberger une telle clé dans l’environnement neutre et sécurisé d’une blockchain préserverait de toute ingérence humaine. La question du contrôle de l’outil par un pays donné ne se pose plus. Ainsi, les algorithmes se chargent seuls d’assurer le fonctionnement de la blockchain, que nul ne peut dès lors plus remettre en cause.

Prenons l’exemple d’un vote à l’échelle nationale : le recours à une blockchain désamorce toute contestation. La neutralité d’un tel système open source opérant en toute transparence garantit la conformité des procédures. Un changement de paradigme s’amorce. L’utilisateur du système en garantit lui-même la fiabilité, au lieu de devoir s’en remettre à des tiers.

M. Philippe Latombe, rapporteur. Encore faut-il que la blockchain ait une force probante, ce qui n’est pas le cas aujourd’hui en France.

M. Sébastien Dupont. Tout à fait. Nous collaborons avec une chercheuse, dont le prix de l’Académie des sciences a salué l’an dernier le travail sur les réseaux décentralisés de la blockchain, travail qu’elle mène en parallèle à d’autres travaux sur l’aviation. Nous avons diffusé des white papers et des yellow papers décrivant mathématiquement le projet mis en œuvre. Ils apportent la preuve mathématique de l’impossibilité de corrompre la moindre transaction passée via la blockchain.

M. Philippe Latombe, rapporteur. Mais comment transformer la certitude mathématique en preuve légale ? Faut-il modifier le droit et rendre la blockchain probante dans tous les cas ? Toutes les blockchains se valent-elles ? Faut-il recourir à des tiers de confiance ou des certificateurs ? Le cas échéant, pourrait-on se tourner vers des professions existantes ou conviendrait-il d’en créer de nouvelles ? Avez-vous étudié ce problème, français, au niveau européen ?

M. Sébastien Dupont. La valeur probante de la blockchain est d’ordre mathématique. La blockchain convoque la notion de « notaire ». Dès lors qu’une identité est certifiée, par la gendarmerie par exemple, il devient impossible de la remettre en cause. Le système judiciaire devra s’adapter pour le comprendre, peut-être en sollicitant des experts mathématiques. Quoi qu’il en soit, d’un point de vue technique, la valeur probante de la blockchain ne laisse aucune place au doute.

M. Philippe Latombe, rapporteur. Prenons un exemple : la conclusion d’un contrat de prêt bancaire implique le calcul d’un taux annuel effectif global (TAEG). Il a fallu une dizaine d’années de jurisprudence pour établir que ce taux ne faisait pas foi au-delà de deux chiffres après la virgule, alors que des conflits ont porté sur cinq à dix décimales. Compte tenu de la brève durée des cycles technologiques, il vaudrait mieux que le législateur vous fournisse un cadre ne dépendant pas d’outils mathématiques. Comment y parvenir ? Dans le cas contraire, il faudra s’attendre à des batailles d’experts, car tous les tribunaux ne traiteront pas forcément de la même manière les contrats intelligents, d’où d’éventuelles saisies des cours d’appel, voire de la Cour de cassation.

Cette question doit intéresser vos investisseurs et vos clients, puisqu’elle rejoint celle de l’usage de la blockchain et, donc, des revenus qu’elle pourrait générer.

M. Sébastien Dupont. La blockchain pourrait confirmer l’identité d’une personne contractant un prêt. Du moins, nous pourrions techniquement en apporter la preuve, même si cette preuve n’a pas, pour l’heure, de valeur juridique. Dès lors que l’État manifesterait la volonté de s’atteler à ce chantier, en vue d’améliorer l’efficacité de son administration, nous serions heureux d’y participer. En tout cas, il faudra tôt ou tard confronter les mathématiques à la loi.

M. Philippe Latombe, rapporteur. Des solutions comparables à celles que propose UNIRIS existent-elles dans d’autres pays européens ?

M. Sébastien Dupont. Nous occupons une position particulière. Nous voulions répondre à deux défis : permettre à toute personne, même dépourvue de connaissances technologiques, de se connecter à une blockchain, et en créer une qui ne consomme pas trop d’énergie. L’amélioration de ces aspects a nécessité des années de travail.

La blockchain bitcoin présente le grand mérite de respecter les principes philosophiques qui fondent cette technologie. Il convient de saluer l’apport d’Ethereum en matière de contrats intelligents. Les autres blockchains ne se démarquent pas vraiment du lot. Seule UNIRIS s’est concentrée sur l’identité numérique, la sécurité et l’efficience énergétique.

M. Philippe Latombe, rapporteur. Décelez-vous l’émergence d’une filière blockchain française ou européenne aujourd’hui ? Existe-t-il des spécialistes de cette technologie en Europe ? Certaines écoles assurent-elles des formations spécifiques ? Des entreprises ou des administrations commencent-elles à s’y intéresser ? Comment aider l’écosystème actuel à se développer ? D’ailleurs, que représente-t-il au juste,?

M. Sébastien Dupont. Une filière française commence bel et bien à se structurer autour d’une petite communauté d’entreprises qui, curieusement, travaillent aussi bien avec des entités françaises que du reste du monde, en s’efforçant d’apporter une réponse honnête aux problèmes qui surgissent.

Nous avons participé au programme européen Horizon 2020. Nos candidatures à des appels d’offres n’ont pas été retenues pour des raisons de coût, que nous n’avons d’ailleurs pas très bien comprises. Le RGPD marque en tout cas une formidable avancée. Sinon, nous nous sentons aujourd’hui plus proches du reste du monde.

M. Philippe Latombe, rapporteur. Voyez-vous un atout dans le RGPD ?

M. Sébastien Dupont. Oui, car notre fer de lance n’est autre que la protection de la vie privée.

M. Philippe Latombe, rapporteur. Vous tenez le RGPD, en tant qu’outil de réglementation, pour un moyen de protéger notre souveraineté ?

M. Sébastien Dupont. Tout à fait. Il suffit que quelqu’un ait accès à nos données personnelles, où qu’il se trouve, pour que le reste de la planète parvienne également à y accéder. Le RGPD marque une énorme avancée en matière de souveraineté numérique.

M. Philippe Latombe, rapporteur. Dans vos discussions, les responsables indiens vous ont-ils laissé l’impression d’une plus grande réactivité par rapport à leurs homologues français ? Comment percevez-vous leur état d’esprit comparé au nôtre ?

M. Sébastien Dupont. Le simple fait que le gouvernement indien ait mandaté une petite start-up française pour réfléchir à une solution qui remplace Visa et Mastercard en matière de transactions électroniques me paraît extraordinaire. Les responsables indiens ne doutent pas de la nécessité de recourir à la technologie de la blockchain pour gérer les transactions de leur population de 1,4 milliard d’habitants. Ils se montrent en revanche beaucoup plus réticents vis-à-vis de la cryptomonnaie qui s’apparente davantage, à leurs yeux, à un système pyramidal. Ils craignent que son usage ne déstabilise la population.

M. Philippe Latombe, rapporteur. Il me semble que l’Inde a fourni un énorme travail en vue d’identifier sa population à l’aide de solutions biométriques. Êtes-vous sollicités dans ce domaine aussi ?

M. Sébastien Dupont. Oui. En revanche, ce n’est pas l’Inde qui a fait appel à nous en matière de solutions biométriques, mais l’ONU, pour la gestion des réfugiés. Nous disposions déjà, sur le papier, d’un moyen rapide d’identifier les individus, sans risque pour leurs données privées, ni création de doublons. La prochaine étape du projet consistera dans le déploiement de notre blockchain couplée à notre dispositif biométrique.

M. Philippe Latombe, rapporteur. Revenons à votre plan de développement. Vous consommez pour l’instant votre trésorerie. Quand pensez-vous atteindre un équilibre de vos comptes ?

M. Sébastien Dupont. La conversion de nos cryptoactifs en euros nous permettra simplement de survivre. Nous espérons nous développer à partir de 2022. La mise au point de dispositifs biométriques s’avère particulièrement onéreuse. Nous chiffrons son coût, incompressible, à cinq millions d’euros. Son financement, même par les cryptomonnaies, s’annonce compliqué.

M. Philippe Latombe, rapporteur. Faut-il en conclure à une certaine frilosité des investisseurs par rapport à des technologies comme la blockchain ? Peinerez-vous à réunir les fonds nécessaires en France ?

M. Sébastien Dupont. Pour ne rien vous cacher, nous ne pensions pas recourir à l’émission d’actifs numériques (Initial coin offering ou ICO) mais nous autofinancer par des commandes. Seulement, l’officialisation du passage de commandes prend trop de temps. Durant la crise sanitaire, nous avons donc utilisé des ICO. Mon équipe et moi-même nous interrogeons actuellement sur l’opportunité de poursuivre notre développement en France, au regard des risques que cela implique. Lancer une ICO pour financer notre projet biométrique semble possible, mais une épée de Damoclès demeure suspendue au-dessus de nos têtes.

M. Philippe Latombe, rapporteur. Les GAFAM ou des fonds américains se poseraient-ils selon vous moins de questions ?

M. Sébastien Dupont. Évidemment, ils n’hésiteraient pas un instant, à condition de pouvoir récupérer ensuite la technologie développée au travers de nos projets.

M. Philippe Latombe, rapporteur. Les GAFAM vous ont-ils fait des propositions ? Vous avez mis au point une technologie de rupture qui présente de grands avantages écologiques, à même de faire la différence dans des politiques publiques, d’où votre attractivité technologique indéniable. Comment les GAFAM vous approchent-elles ?

M. Sébastien Dupont. Curieusement, nous avons été en relation avec PayPal. Je n’y vois pas de lien avec le gel de nos avoirs. PayPal est une société tentaculaire. Le département qui nous a contactés s’occupait d’investissement, de stratégie et d’innovation. Je ne crois pas à une collusion avec le service chargé de la gestion quotidienne des fonds. Le remplacement d’une carte bancaire par une empreinte digitale suffirait à changer la donne d’un point de vue stratégique.

Nous avons toutefois dès le début annoncé que tous nos brevets finiraient dans le domaine public en tant que bien commun numérique, ce qui nous rend incompatibles avec les GAFAM, puisqu’elles cherchent au contraire à s’assurer la mainmise sur des brevets pour en extraire le plus de revenus possible.

M. Philippe Latombe, rapporteur. Malgré tout, leur capacité à imposer rapidement de nouveaux usages les place en situation de quasi-monopole. Vos solutions technologiques ne pourraient-elles pas les intéresser, au moins pour leur usage ?

Gal Grégoire de Saint-Quentin. J’ai le sentiment que la technologie révolutionnaire que propose UNIRIS ne correspond pas du tout à l’optique des GAFAM, puisque la blockchain d’UNIRIS, parfait instrument du RGPD, amène in fine chacun à récupérer sa souveraineté sur ses données.

M. Philippe Latombe, rapporteur. Il faut donc défendre UNIRIS à tout prix.

Gal Grégoire de Saint-Quentin. Je le crois. Deux conceptions de la souveraineté s’emboîtent dans la technologie développée par UNIRIS. L’Europe entend par la première protéger ses citoyens. L’autre menacerait les intérêts de certains acteurs actuels du numérique. UNIRIS devrait bientôt mettre au point l’ossature de son nouveau protocole, ou Mainnet, d’ici à la fin de l’année. La blockchain publique qui en résultera deviendra à terme un bien public. M. Sébastien Dupont abandonnera ses brevets à une fondation d’utilité publique. Une telle démarche s’oppose diamétralement à celle de certains des GAFAM. Des applications monétisables pourront être construites à partir de cette ossature. En revanche, les données personnelles ne seront quant à elles plus monnayables.

M. Philippe Latombe, président et rapporteur. Souhaitez-vous porter à notre attention certains points particuliers ? Des problématiques périphériques vous viennent-elles à l’esprit, sur lesquelles nous pourrions agir ?

M. Sébastien Dupont. Nous avons la chance en France de disposer d’un système de recherche fantastique, auquel collabore un personnel, certes rémunéré, mais qui n’hésite pas à consacrer une part de son temps libre à l’amélioration de solutions. UNIRIS a bénéficié de la conjonction de tous les investissements réalisés en matière de recherche et de formation en France. Nous parvenons aujourd’hui à la limite du système.

Les cryptomonnaies ne sont pas toujours bien vues. Tout l’écosystème français s’est mis en branle pour que ce type de solution voie le jour. Toutefois, les entreprises qui les ont mises au point risquent de mourir si elles restent en France. La situation s’explique par nos traditions et je dirais même, par la Déclaration des droits de l’Homme. Elle nous empêche en tout cas de concrétiser pleinement nos solutions dans notre écosystème, pour des raisons parfois peu compréhensibles du point de vue des entrepreneurs.

Gal Grégoire de Saint-Quentin. Je pense qu’il faut sortir de cette sorte de triangle des Bermudes. Le législateur, comme vous l’avez dit tout à l’heure, doit se pencher sur les moyens de rapprocher l’aspect légal et juridique de la blockchain de son versant mathématique.

Je comprends que les cryptoactifs véhiculent une image de spéculation. Il faut néanmoins les considérer comme un élément indispensable à la vie d’une entreprise, à l’instar des actions pour les sociétés cotées. Un important travail reste à mener afin de faire comprendre que les cryptomonnaies n’ont pas pour vocation de rivaliser avec les devises nationales. Elles sont émises en quantité limitée, comme les actions. Leur valeur découle de la nécessité de rémunérer ceux qui participent à la blockchain. UNIRIS s’est attachée à développer une blockchain perméable aux critiques qu’a suscitées le bitcoin.

M. Philippe Latombe, rapporteur. La souveraineté concerne l’État et les entreprises, mais aussi les citoyens. Comment acculturer ces derniers aux nouvelles technologies telles que la blockchain ? Quels conseils donneriez-vous ?

M. Sébastien Dupont. Peut-être pourrait-on commencer par expliquer la différence entre les logiciels propriétaires et open source. Nous devons tous nous demander à qui profite notre travail. Gmail propose une messagerie électronique gratuite, mais à quel prix ? Google revend nos données personnelles, privées. Certes, les outils marketing y gagnent en pertinence, mais les utilisateurs le payent.

Il n’y a rien de gratuit sur Internet. Un acteur du numérique proposant un service qu’il ne facture pas se rémunérera par un autre biais, de façon détournée. Une transaction sur une blockchain d’UNIRIS coûte moins de 20 centimes. Cette somme paye les mineurs qui la stockent et contribuent à sa validation. Aucun tiers n’intervient dans l’équation. Si tout le monde avait en tête que, selon la formule célèbre : « si c’est gratuit, c’est toi le produit », sans doute les risques de fuite des données des citoyens diminueraient-ils.

Gal Grégoire de Saint-Quentin. L’occasion se présente à nous de mettre en place des solutions prometteuses en accord avec nos valeurs européennes, face à des systèmes plus commerciaux ou fermés. La révolution de la blockchain représente un véritable tour de force. Bien qu’il reste encore beaucoup à accomplir, j’y vois des solutions potentielles à nombre de nos problèmes actuels. Longtemps en charge de questions de sécurité, j’estime que toute solution en mesure de remédier au déséquilibre des rapports de force sur Internet, qui n’offre aujourd’hui plus du tout un espace neutre, bénéficiera à la stabilité et à la sécurité de tous.

Audition commune, ouverte à la presse, de MM. Francesco Bonfiglio, directeur général, et Pierre Gronlier, directeur des technologies, de l’association internationale sans but lucratif GAIA-X et de Mme Marine de Sury, coordinatrice du French GAIA-X Hub (22 avril 2021)

Présidence de M. Philippe Latombe, rapporteur.

M. Philippe Latombe, président et rapporteur. Cette audition s’inscrit dans notre réflexion relative à la souveraineté des données et à la nécessité de construire un écosystème européen du cloud conforme aux valeurs de l’Europe via la promotion de solutions interopérables, réversibles et sécurisées.

GAIA-X est une initiative européenne lancée en 2020. Elle rassemble plus de cent quatre-vingts entreprises privées avec pour objectif de proposer aux Européens une infrastructure et un cadre d’architecture sécurisés permettant de garantir une circulation maîtrisée des données. Cette initiative doit être abordée en lien avec le Data Governance Act proposé par la Commission européenne à la fin de l’année 2020.

Je souhaite que nos débats permettent d’aborder trois sujets. Le premier concerne votre définition de la souveraineté numérique et la manière dont elle est prise en compte dans l’initiative GAIA-X.

Je voudrais également que vous nous présentiez l’initiative GAIA-X en détaillant sa genèse, sa gouvernance et son actualité. Très concrètement, nous aimerions prendre connaissance des objectifs de GAIA-X et des jalons fixés pour sa mise en œuvre, mais aussi évoquer la doctrine de ce projet et les raisons pour lesquelles les hyperscalers, tels Amazon et Google, ont été conviés à y participer en tant que partenaires.

Enfin, j’aimerais savoir comment GAIA-X s’articule avec la démarche initiée par la Commission européenne dans le Data Governance Act. J’aimerais donc connaître votre approche du marché européen de la donnée et vos propositions concernant la manière dont nous devons agir pour trouver un équilibre entre l’innovation et la protection des données. L’accès aux données est un sujet essentiel pour assurer le développement de nombreuses technologies d’avenir, dont beaucoup s’appuient sur l’Intelligence artificielle.

M. Francesco Bonfiglio, directeur général de l’association internationale sans but lucratif GAIA-X. Votre première question concerne notre définition de la souveraineté numérique. Il s’agit d’une question très pertinente, posée par tous les acteurs. Ceci signifie qu’il existe de nombreuses interprétations concernant cette notion. Les choses sont très claires nous concernant. Nous parlons de souveraineté digitale, c'est-à-dire, en premier lieu, de la capacité à contrôler le stockage de nos données et leur exploitation, par qui, pour quel usage et de quelle manière. Cette notion renvoie également à notre capacité à reconquérir notre souveraineté en matière d’économie des données, notamment en matière d’échange des données.

M. Pierre Gronlier, directeur des technologies, de l’association internationale sans but lucratif GAIA-X. Je suis un ingénieur français ayant suivi un parcours académique dans le domaine du traitement du signal mathématique. J’ai successivement travaillé au sein de Microsoft et d’OVH avant de rejoindre depuis quelques semaines le projet GAIA-X, au sein duquel j’occupe le poste de directeur technique.

Six éléments permettent de définir le projet GAIA-X. Il s’agit tout d’abord d’un système dans lequel les différents acteurs, c'est-à-dire les citoyens, les entreprises, les autorités publiques et les États, peuvent contrôler la manière dont leurs données sont utilisées – ce qui renvoie à la notion de souveraineté numérique – et vérifier comment ces données peuvent être partagées et monétisées à travers un système d’infrastructures informatisées et fédérées.

Nous travaillons avec différents acteurs européens afin de réutiliser les services qu’ils ont déjà mis en place dans le cadre de directives européennes, par exemple en matière d’identité numérique et de blockchain. Notre démarche vise également à garantir le respect des valeurs européennes, à savoir la liberté, la démocratie ou encore l’État de droit.

Le troisième élément permettant de caractériser GAIA-X est la transparence, un sujet essentiel afin de garantir la souveraineté numérique. En effet, il convient d’être en mesure de préciser si une réglementation extraterritoriale non européenne peut impacter des données, des infrastructures ou des services. Cette notion renvoie également à la capacité de s’informer et d’être en mesure de garantir l’origine de l’information, à travers des certifications et des labels.

Le quatrième point correspond à la sécurité. En ce qui concerne les infrastructures et les technologies, GAIA-X vise à fixer des règles et proposer des composants garantissant un certain niveau de sécurité et de confidentialité. Entrent dans cette catégorie le federated learning, c'est-à-dire la capacité d’apprentissage fédérée et décentralisée, le confidential computing, c'est-à-dire les calculs sécurisés dans des enclaves physiques de processeurs, ou encore les blockchains, c'est-à-dire les consensus décentralisés, un sujet présenté ce matin à votre mission d’information.

Le cinquième élément porte sur la protection des droits, ce qui correspond à la souveraineté des individus et des organisations. Le terme de souveraineté doit alors être entendu comme la capacité à garantir l’autonomie stratégique de ses ressources, mais aussi comme la capacité à redonner confiance dans les outils numériques.

Enfin, sur la base des principes et des valeurs précédemment énoncés, GAIA-X vise à favoriser la création et la croissance des écosystèmes numériques de partage et de monétisation de la donnée, tout en s’assurant de l’interopérabilité, de la sécurité et de la transparence du dispositif. Ceci implique de favoriser le passage d’une gouvernance humaine à une gouvernance numérique, dans laquelle les algorithmes viennent supporter – et non remplacer – la partie légale. Cet élément a donc un impact réglementaire. Je pourrai illustrer mon propos ultérieurement au moyen d’exemples utilisateurs au sein de GAIA-X.

L’écosystème de GAIA-X, qui couvre un volet relatif à la gestion des données et un volet relatif à l’infrastructure, constitue un système autonome, au sein duquel les différents acteurs maîtrisent leurs interactions et savent comment leurs données sont utilisées. La brique des federated services constitue le moteur de cet écosystème. C’est à ce niveau que les job providers, c'est-à-dire les acteurs de la partie infrastructure, européens ou non européens, et les fournisseurs de données, là encore européens ou non européens, échangent.

La présentation des membres de GAIA-X permettra de répondre à la question relative aux hyperscalers. En effet, 95 % des deux cent douze membres récemment admis sont européens, et 70 % des membres sont des PME.

L’association GAIA-X repose sur une structure classique comprenant un conseil d’administration élu par une assemblée générale, un comité technique directeur – composé de M. Francesco Bonfiglio, de moi-même et d’autres directeurs prochainement désignés – un comité en charge de la road map technique et un comité en charge de la réglementation et de la régulation. Ces comités sont assistés par des groupes de travail ouverts aux membres de l’association et au sein desquels sont élaborés les « délivrables » de GAIA-X.

La structure de GAIA-X repose sur l’association internationale sans but lucratif de droit belge GAIA-X (GAIA-X AISBL) et sur les différents hubs nationaux de GAIA-X, qui sont des incubateurs à projet nationaux. Enfin, la communauté de GAIA-X est ouverte à tous les contributeurs souhaitant être informés, observer et apprendre des travaux menés.

L’association GAIA-X a pour mission de produire trois types de « délivrables ». Le premier type correspond aux spécifications techniques permettant d’assurer la régulation et la gouvernance attendue. Le deuxième type correspond aux règles de politiques figurant dans des policy rules documents et permettant de traduire juridiquement les notions de souveraineté, d’autonomie et d’interopérabilité. Enfin, le troisième type correspond à une version open source et libre d’usage des federated services, un développement soutenu par des financements nationaux, actuellement français et allemands.

Un certain nombre de « délivrables » ont déjà été produits. Ainsi, le document d’architecture présenté en juin 2020 détaillait un potentiel schéma de fonctionnement de GAIA-X. Une version consolidée de ce document d’architecture a été présentée au cours du mois de mars 2021 et a permis de préciser le modèle fonctionnel de GAIA-X.

M. Francesco Bonfiglio. Nous sommes sur le point de créer un troisième comité intitulé business and data spaces committee. Il est important de préciser que, si GAIA-X AISBL constitue une association organisée de manière traditionnelle, avec une assemblée générale et un conseil d’administration, l’univers de GAIA-X correspond à la combinaison entre cette structure et sa communauté d’utilisateurs.

En parallèle, les premiers hubs GAIA-X nationaux ont été créés en France, en Allemagne, en Finlande, en Belgique et en Italie. D’autres vont être créés dans un proche avenir. Nous devrions disposer de seize hubs de ce type d’ici au mois de juin.

Il en résulte au final une communauté internationale regroupant une centaine de membres qui collaborent pour porter des projets dans leur domaine de prédilection et dans leurs pays respectifs. Ces programmes peuvent être portés dans de multiples domaines (santé, secteur public, agriculture...).

En revanche, GAIA-X n’est pas une instance normative. Certes, cette entité peut bien évidemment proposer aux décideurs des projets de règles et de normes, mais son activité première consiste à définir une nouvelle génération d’architecture de cloud et à la mettre en œuvre à travers des logiciels en open source. Nous rédigeons des codes qui nous permettront de créer cette couche d’intercommunication entre différentes sources informatiques dans un environnement souverain et sécurisé. Il s’agit d’une initiative sans précédent, dans la mesure où nous permettons à tous les membres de GAIA-X, ou à tout type d’acteur souhaitant y implémenter ses services, de bénéficier de cet environnement.

Par ailleurs, nous développons une collaboration très étroite avec les différents hubs nationaux, afin de prendre en compte les spécificités réglementaires et les exigences des différents pays, des éléments qui ne sont jamais pris en compte par les prestataires de service traditionnels dans le domaine du cloud. L’objectif est de permettre aux utilisateurs de renforcer leur capacité à adapter leurs données, afin de créer une communauté de données, de concevoir un nouveau système et de le mettre à disposition des utilisateurs.

GAIA-X n’est pas une société commerciale ou un prestataire de services commerciaux chargé de déployer des solutions. Nous souhaitons conserver notre autonomie et notre indépendance. Notre objectif est que tous les acteurs recourant aux services de GAIA-X mettent en œuvre et implémentent de manière autonome cette couche de cloud fédérée. Concrètement, GAIA-X restera la propriété des utilisateurs, afin de garantir la concurrence et l’ouverture du marché.

Pour répondre aux interrogations nées de la présence de membres non européens au sein de GAIA-X, je veux préciser que les statuts disposent que le conseil d’administration de GAIA-X AISBL peut uniquement accueillir des membres dont la société mère est implantée sur le territoire de l’Union européenne. En revanche, des entreprises de tous horizons peuvent nous rejoindre. Ceci explique pourquoi de grandes entreprises américaines et chinoises font partie du projet. Certes, l’opportunité de les accueillir a fait l’objet de débats. Cependant, j’ai estimé que réunir les meilleurs acteurs du marché du cloud constituait une opportunité extraordinaire, dès lors que la condition de base de leur participation est l’acceptation des valeurs que nous incarnons.

Par ailleurs, la participation de ces leaders mondiaux signifie que nous sommes potentiellement en train de changer les règles du jeu. Je ne veux pas entrer dans les détails techniques, mais il convient de rappeler que tous les hyperscalers fonctionnent sur la base d’un modèle reposant sur la concentration des données : plus les capacités de calcul sont importantes, plus les données captées sont nombreuses, plus les ressources technologiques sont concentrées, plus les services sont efficaces, compétitifs et rentables. Or ce modèle n’est pas le plus approprié pour gérer des données disséminées à travers le monde, un phénomène appelé le far edge computing.

En réalité, les données devraient être stockées et gérées au plus près de leur source, ce qui impose de développer un modèle horizontal et fédérateur. GAIA-X permet de construire un tel modèle auquel chacun devra se conformer. Avec ce projet, l’Europe dispose d’une chance de revenir dans la compétition avec les plus importants acteurs du marché. De ce fait, je pense sincèrement que le cloud aura profondément évolué dans quelques années.

M. Philippe Latombe, rapporteur. Votre présentation a permis d’expliquer la présence d’acteurs américains ou chinois dans GAIA-X. Je pense que cette intervention permettra de répondre aux nombreuses réticences exprimées en France à ce sujet.

En revanche, j’aimerais entendre votre réaction aux propos de plusieurs personnes auditionnées par notre mission d’information qui considéraient que l’avance prise par les Américains, en particulier par les GAFAM, était quasiment irrattrapable. Cette avance ne concerne pas la capacité à stocker des données, mais le volet relatif à l’Intelligence artificielle embarquée dans le cloud. Pensez-vous que GAIA-X permettra de rattraper ce retard ?

M. Pierre Gronlier. Les GAFAM ont effectivement pris une avance considérable. Cependant, nous disposons en Europe, et notamment en France, de nombreux savoir-faire. Ceci explique pourquoi de nombreux spins-off sont créés, par exemple au sein du commissariat à l’énergie atomique et aux énergies renouvelables (CEA). Malheureusement, dans la plupart des cas, ces derniers sont ensuite rachetés par les GAFAM.

L’Europe dispose donc des capacités intellectuelles et technologiques lui permettant d’innover et de créer de nouvelles façons de travailler à partir des données. Le projet GAIA-X vise à conserver ces projets en Europe.

M. Philippe Latombe, rapporteur. Pouvez-vous préciser l’objectif de GAIA-X en la matière ?

M. Pierre Gronlier. L’objectif de GAIA-X est de permettre à ces acteurs européens d’éclore en évitant qu’ils se tournent immédiatement vers les GAFAM afin de conquérir rapidement un marché. Il convient au contraire de les orienter vers des acteurs partageant un certain nombre de valeurs en matière de souveraineté, d’interopérabilité et de sécurité.

M. Francesco Bonfiglio. Bien évidemment, un projet visant à déployer une architecture comparable à celle d’acteurs tels Microsoft, Amazon ou Google serait voué à l’échec. D’ailleurs, nous ne pourrions pas consacrer les milliards de dollars investis par ces acteurs afin de disposer d’une technologie aussi sophistiquée.

Nous tentons donc de construire quelque chose de nouveau, à savoir une infrastructure capable de se connecter aux infrastructures existantes. Cette solution nous évitera de déployer notre propre technologie et nous permettra de rassembler des données permettant de créer un cloud encore plus vaste.

Par ailleurs, notre approche représente une alternative à la stratégie des hyperscalers, qui consiste à disposer d’un réseau sans cesse plus puissant et d’une bande passante leur permettant de stocker l’ensemble des données produites. Ces acteurs cherchent par ailleurs à conserver un point central d’analyse des données, afin de rentabiliser les investissements faramineux qu’ils ont réalisés. Cependant, cette démarche ne correspond pas à une approche évolutive. Au contraire, notre approche reposant sur la convergence permettra d’utiliser des données conservées dans de multiples endroits. La stratégie que nous portons sera ainsi moins énergivore, puisqu’elle permettra d’utiliser les données à proximité de leur source d’émission, sans avoir à les stocker à l’autre bout du monde.

L’approche de GAIA-X permettra par ailleurs de garantir la mise en œuvre d’une des valeurs les plus importantes pour les acteurs technologiques européens, à savoir la fourniture de services dans un cadre sécurisé et garantissant l’interopérabilité, la portabilité, la réversibilité, alors que les hyperscalers sont spécialisés dans la vente de services.

Mme Marine de Sury, coordinatrice du French GAIA-X Hub. Outre mes fonctions au sein du French GAIA-X Hub, je suis directrice de mission du Club informatique des grandes entreprises françaises (Cigref), une association représentant les plus grandes entreprises et administrations publiques françaises, exclusivement utilisatrices de services et solutions numériques, et ce dans tous types de secteurs d’activité. Depuis cinquante ans, le Cigref a pour mission de développer la capacité de ses membres à intégrer et maîtriser le numérique.

GAIA-X permet à des fournisseurs de solutions et de services de ne pas rester cantonnés à l’échelle nationale, mais de passer immédiatement à l’échelle européenne.

M. Philippe Latombe, rapporteur. Lors de nos précédentes auditions, la problématique les projets de mégaconstellations de fournisseurs d’Internet par satellite a été abordée. Comment GAIA-X a-t-il intégré cette problématique ? L’objectif sera-t-il simplement de disposer d’une bande passante plus rapide pour accéder au cloud ? Comment articuler les deux projets européens portés en parallèle ?

M. Pierre Gronlier. La problématique des mégaconstellations de fournisseurs d’Internet par satellite a été prise en compte dans GAIA-X à travers la notion d’edge cloud. Un satellite – tout comme une voiture, un train ou un bateau – peut être considéré comme une unité de calcul qui peut être fédérée. Dans ce contexte, disposer d’une bande passante plus importante et d’une moindre latence permettra de construire de nouveaux scénarios de cas d’usage. Par ailleurs, GAIA-X représentera une offre complémentaire en termes de régulation.

M. Philippe Latombe, rapporteur. GAIA-X est un projet très innovant porté par l’Union européenne et décliné dans les hubs nationaux. Un projet comparable pourrait-il être adopté pour des problématiques du numérique autres que le cloud ? En cas de réponse positive, quelles problématiques pourraient-elles être traitées dans un projet et une gouvernance comparables à GAIA-X ?

M. Pierre Gronlier. D’une manière générale, la consommation de tous les services informatiques, dont le cloud, implique que l’utilisateur s’authentifie. Or la gestion de l’identité fait partie des problématiques prises en compte dans GAIA-X. Ainsi, les banques, ou les hôpitaux, doivent se conformer aux règles de KWC. Or il est actuellement très difficile en Europe de maîtriser trois briques de base en la matière, à savoir identifier une personne physique, identifier une personne morale et identifier le mandat d’une personne physique sur une personne morale.