Cloud, Microsoft, open source : ce que propose la rapporteure

Logiciels de bureau, hébergement des données, outils des écoles : ces choix techniques ont fait l'objet d'une enquête parlementaire. La commission d'enquête de l'Assemblée nationale sur les dépendances et les vulnérabilités du secteur numérique a déposé son rapport cet été. Le sujet touche aussi bien les ministères que les entreprises publiques, les acheteurs privés et l'école. Comme tout rapport d'enquête, il ne tranche rien par lui-même : il propose des mesures et n'oblige personne.

Ce qu'il propose se lit dans les listes numérotées de la rapporteure, qui séparent recommandations et propositions. Ces listes couvrent le cloud, les données personnelles, la commande publique, le financement des entreprises et l'école. L'agenda publié par l'Assemblée nationale permet, lui, de retracer le calendrier des travaux et le nombre de réunions. Cet article restitue ces éléments, sans les commenter ni préjuger de la suite qui leur sera donnée.

Une commission créée le 3 février 2026 sur les dépendances numériques

La commission d'enquête porte un intitulé qui fixe son champ : les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique. Cet intitulé y ajoute les risques pour l'indépendance de la France. Elle appartient à la 17e législature de l'Assemblée nationale, dont les fichiers ouverts publient les dates et l'agenda de ses réunions. Sa composition, publiée en tête du rapport, réunit un président, une rapporteure et d'autres députés.

L'historique des organes publié par l'Assemblée nationale date la création de la commission du 3 février 2026. Le dossier parlementaire, autre fichier du même producteur, retient pour sa part le 4 février 2026. Cet article retient la date de l'historique des organes et signale l'écart entre les deux fichiers. La durée en jours calculée plus loin part donc de cette date de création, et non de celle du dossier.

La désignation de la rapporteure est datée du 18 février 2026 par le dossier parlementaire. Les listes du rapport attribuent à la rapporteure les recommandations comme les propositions. Le rapport la désigne par le titre de rapporteure, au féminin, et cet article reprend ce mot. Le président de la commission signe de son côté un avant-propos placé en tête du rapport.

Le rapport résume l'objet des travaux par une double question : quelles dépendances critiques peuvent affecter le fonctionnement du pays, et comment y remédier. Il annonce un travail de cartographie des dépendances des citoyens, des administrations et des acteurs économiques aux technologies numériques. Lors de l'examen du rapport, la rapporteure a précisé que les cyberattaques et les ingérences n'avaient pas pu être examinées de manière approfondie. Le champ retenu va des logiciels déployés dans les ministères aux effets systémiques de l'intelligence artificielle.

155 jours entre la création et le dépôt du rapport n° 3054

La première réunion inscrite à l'agenda de la commission date du 18 février 2026. La dernière réunion inscrite à l'agenda date du 8 juillet 2026, jour du dépôt du rapport. Le rapport porte le n° 3054 et a été enregistré à la présidence de l'Assemblée nationale à cette même date. Entre la création de la commission et le dépôt du rapport, le calcul de la rédaction donne 155 jours.

Ce décompte part de la date de l'historique des organes et s'arrête à la date de dépôt du rapport. Il ne se confond pas avec l'intervalle entre la première et la dernière réunion, qui commence plus tard. Le tableau ci-dessous reprend les étapes publiées, dans l'ordre de leurs dates et avec leurs dates exactes. Certaines étapes y partagent une même date.

Le rapport mentionne, outre les auditions, un déplacement à Bruxelles du président et de la rapporteure. Il annexe aussi la liste des entités ayant répondu à un questionnaire écrit de la rapporteure. Le questionnaire adressé par la rapporteure aux administrations de l'État figure lui aussi en annexe du rapport. Des contributions des groupes politiques et des députés figurent également dans le rapport publié.

D'après le rapport, la commission a procédé, à huis clos, à l'examen du projet de rapport suivi d'un vote. Le compte rendu de cet examen, reproduit dans le rapport, retrace les échanges entre les membres de la commission. Il consigne aussi les modifications apportées au texte au titre du secret fiscal et du secret des affaires. Ces modifications portent sur des informations transmises à la commission, que le rapport ne publie pas en détail, au titre de ces secrets.

47 réunions tenues, dont 45 ouvertes à la presse

L'agenda publié compte 47 réunions tenues de la commission entre sa première et sa dernière réunion. Parmi elles, 34 réunions d'audition portent au moins une audition à leur ordre du jour. Les réunions d'audition forment ainsi la plus grande part des réunions tenues de la commission. Cumulées, les heures de début et de fin publiées donnent 75 heures de réunion, arrondies par la rédaction.

Les fiches de 45 réunions tenues les déclarent ouvertes à la presse. L'ordre du jour de 1 réunion tenue mentionne un huis clos pour au moins un de ses points. Aucune réunion tenue n'est à la fois déclarée ouverte à la presse et porteuse d'un point à huis clos. Ces comptes ne se recouvrent donc pas, et leur somme ne fait pas le total des réunions tenues.

Les listes d'émargement des réunions tenues portent 1 252 lignes en tout, entre les mentions présent, absent et excusé. On y compte 192 mentions « présent », 1 021 mentions « absent » et 39 mentions « excusé ». Ces nombres comptent des lignes d'émargement cumulées sur toutes les réunions tenues, et non des personnes distinctes. Le total de 1 252 lignes est la somme de ces mentions, calculée par la rédaction.

Une mention « absent » constate un émargement manquant sur la liste d'une réunion, sans en donner le motif. Les heures cumulées portent sur toutes les réunions tenues, sans distinguer les réunions d'audition des autres réunions. Les mentions d'émargement se cumulent de la même façon sur toutes les réunions tenues, sans correspondre à un effectif de membres. Les échanges eux-mêmes se lisent dans les comptes rendus des auditions, que le rapport cite en notes.

De la Cour des comptes à l'Otan, qui la commission a-t-elle entendu ?

Les ordres du jour publiés précisent la fonction de chaque personne entendue et, le cas échéant, l'organisme qu'elle représente. Cet article reprend ces fonctions telles que l'ordre du jour les écrit, et au genre où il les écrit. Les exemples qui suivent sont tirés des ordres du jour publiés, sans prétendre en dresser la liste complète. Tous ceux retenus ici portent la mention d'une audition ouverte à la presse.

Côté administrations, la commission a entendu la directrice interministérielle du numérique et son adjoint. Elle a aussi entendu un président de section à la première chambre de la Cour des comptes, accompagné de conseillers de la juridiction. Le directeur par intérim de la plateforme des données de santé, Health Data Hub, figure également parmi les personnes entendues. La directrice générale déléguée de la Caisse des dépôts a été entendue avec d'autres responsables de l'établissement.

Un général de division, chargé de mission « transformation numérique » auprès du commandant suprême allié pour la transformation de l'Otan, a été entendu. La commission a également entendu une personne exerçant les fonctions de juge à la Cour pénale internationale. Le directeur général de la fondation Inria, ancien ambassadeur pour le numérique, fait aussi partie des personnes entendues. Le secrétaire général de l'Institut de la souveraineté numérique a lui aussi été entendu par la commission.

Côté entreprises, la commission a entendu le directeur général de CapGemini et la directrice mondiale des opérations et du delivery du groupe. Elle a entendu le président du comité stratégique de filière « solutions numériques de confiance » du Conseil national de l'industrie, ancien directeur général d'OVH. Le collectif Eurostack était représenté par une économiste et par le président-directeur général de probabl.ai. La présidente de la fondation Signal, le fondateur de l'association NOYB et une cofondatrice de l'Observatoire des algorithmes publics ont aussi été entendus.

• Direction interministérielle du numérique
• Cour des comptes
• Plateforme des données de santé, Health Data Hub
• Caisse des dépôts
• Otan
• Cour pénale internationale
• Fondation Inria
• Institut de la souveraineté numérique
• CapGemini
• Conseil national de l'industrie
• Collectif Eurostack
• Association NOYB
• Fondation Signal
• Observatoire des algorithmes publics

18 recommandations de la rapporteure, du cloud aux centres de données

Le rapport réunit 18 recommandations de la rapporteure, rassemblées dans une liste numérotée. La rapporteure les présente comme des mesures visant à remédier à des dysfonctionnements constatés ou à faire évoluer des dispositifs existants. Une recommandation n'est pas une décision : le rapport ne dit pas quelle suite le gouvernement ou le Parlement lui donneront. Celles présentées ici sont citées dans l'ordre de leurs numéros, et résumées sans en reprendre le texte.

La recommandation n° 1 propose d'appliquer les principes de la doctrine Cloud au centre à toutes les entreprises publiques. La recommandation n° 2 propose d'accompagner l'indice de résilience numérique d'outils d'achat et de clauses types pour les acheteurs privés. La recommandation n° 3 propose d'inviter toutes les entreprises à migrer le stockage de leurs données sensibles vers des hébergements qualifiés SecNumCloud. Elle y ajoute l'invitation à renoncer aux prestations d'acteurs états-uniens.

La recommandation n° 5 propose de supprimer le guichet unique du RGPD, pour que le Comité européen de protection des données contrôle les traitements transfrontaliers des plus grandes plateformes. La recommandation n° 6 propose qu'un comité d'économistes évalue les dépendances et l'impact d'un kill switch généralisé décidé par les États-Unis. La recommandation n° 7 propose la publication du décret d'application destiné à encadrer les crédits cloud. La recommandation n° 8 propose de réviser le critère du crédit d'impôt recherche, pour aider davantage les entreprises innovantes et moins les entreprises de services numériques.

La recommandation n° 9 propose que les centrales d'achat soient tenues d'indiquer à leurs clients la nationalité des éditeurs de logiciels qu'elles proposent. La recommandation n° 11 propose d'orienter une partie des fonds France 2030 et du dispositif French 120 vers les sociétés d'open source qui respectent les standards d'interopérabilité. La recommandation n° 12 propose une cellule chargée de suivre les effets de l'IA sur l'emploi, associant partenaires sociaux et chercheurs. La recommandation n° 13 propose de défendre en Europe une obligation de certificats d'achat d'électricité renouvelable à maille horaire pour les centres de données.

29 propositions de la rapporteure pour changer de modèle

À côté des recommandations, le rapport réunit une seconde liste, distincte, de 29 propositions de la rapporteure. Elle les présente comme des mesures destinées à engager un changement de modèle pour sortir des dépendances aux outils numériques extra-européens. Le rapport les range sous 6 leviers, des communs numériques jusqu'à la gouvernance. Cet article ne les additionne pas aux recommandations.

La proposition n° 1 propose un soutien politique et financier à l'Edic Digital Commons, structure de coordination des pays européens sur les communs numériques. La proposition n° 2 propose une fondation France Libre Open Source, pour pérenniser les briques open source des outils publics. La proposition n° 3 propose un fonds, baptisé Logic, en complément du Sovereign Tech Fund européen. La proposition n° 5 propose de fixer pour objectif l'absence de Microsoft dans les écoles.

La proposition n° 10 propose d'imposer l'open source dans les marchés publics des administrations, opérateurs de l'État, entreprises publiques et sociétés concessionnaires d'un service public, d'ici le 1er janvier 2030. La proposition n° 15 propose une préférence européenne, le Buy European Act. La proposition n° 19 propose que l'État dispose, par des golden shares, de droits particuliers au capital de Mistral AI et de ChapsVision. La proposition n° 21 propose de suspendre, par un moratoire, les projets de centres de données qui ne répondent pas à l'impératif de souveraineté.

La proposition n° 28 propose un ministère du numérique de plein exercice, dont relèverait une autorité interministérielle du numérique aux prérogatives renforcées. La proposition n° 29 propose que l'Assemblée nationale se dote d'une délégation parlementaire consacrée au numérique. En amont de ces listes, le rapport est construit en 4 parties, dont les intitulés figurent ci-dessous. La dernière, consacrée à un nouveau modèle numérique, débouche sur les propositions de la rapporteure.

• Le diagnostic
• La profondeur des vulnérabilités : pertes économiques et risques systémiques pour les personnes et les services publics
• Les causes d'un enracinement profond
• Pour un nouveau modèle numérique en France et en Europe

Des communs numériques aux centres de données, le rapport propose de réduire les dépendances numériques du pays, sans rien décider lui-même.

Textes déposés autour du rapport : aucun lien établi

Le fonds législatif de l'Assemblée nationale permet de suivre les textes déposés avant et après la période du rapport. Cet article en cite ici des exemples relevés par la rédaction, sans prétendre à l'inventaire. Aucun de ces textes n'est présenté par le fonds comme une suite du rapport, et aucune filiation n'est établie. Leur objet, tel que leur intitulé le formule, porte d'ailleurs sur d'autres domaines que le numérique.

Une proposition de loi visant à renforcer la prévention des violences intrafamiliales par la communication encadrée d'informations a été déposée le 25 juin 2026. Son intitulé complet précise que ces informations sont destinées à des personnes exposées à un risque. Sa date de dépôt est antérieure à celle du rapport, et elle ne peut donc pas en constituer une suite. Le fonds ne porte pour elle que son dépôt et son renvoi en commission, sans aucun acte postérieur.

Une autre proposition de loi, portant sur les risques en agriculture, a été déposée le 15 septembre 2026. Son intitulé porte sur l'instauration d'un régime public d'assurance, de prévention et de gestion des risques climatiques, sanitaires et environnementaux en agriculture. Sa date de dépôt est postérieure à celle du rapport, sans que le fonds établisse de lien entre ce texte et le rapport. Comme pour le texte précédent, le fonds ne porte pour elle que son dépôt et son renvoi en commission.

Pour suivre ce rapport, les signaux à regarder sont ailleurs : un décret sur les crédits cloud, visé par la recommandation n° 7, ou un texte reprenant une proposition. Un tel décret paraîtrait au Journal officiel, tandis que le fonds législatif de l'Assemblée nationale permettrait de dater le dépôt d'un texte et d'en suivre l'examen. Seul un texte qui citerait le rapport permettrait d'établir un lien que le fonds, aujourd'hui, ne montre pas. D'ici là, recommandations et propositions restent ce que le rapport en dit : des pistes soumises au débat public.

À lire aussi

• Économie
• Une autre commission d'enquête : les hauts patrimoines