Vulnérabilités numériques en France : Rapport de la commission d’enquête

Dépendances structurelles et vulnérabilités systémiques de la France dans le secteur numérique

Proposition d’un nouveau modèle numérique par la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France

Président député Philippe Latombe / Rapporteure : Députée Cyrielle Chatelain

Eléonore Scaramozzino, Avocate- Constellation Avocats

La Commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France a été créée le 3 Février 2026. Elle est présidée par le député Philippe Latombe, auteur du rapport d’information sur le thème « Bâtir et promouvoir une souveraineté numérique nationale et européenne », juin 2021 https://www.assemblee-nationale.fr/dyn/15/rapports/souvnum/l15b4299-t1_rapport-information.pdf

L’objet de la commission d’enquête était d’examiner les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France.

Le 8 juillet dernier la Commission a rendu public son rapport d’enquête rédigé par la députée Cyrielle Chatelain, rapporteure.

Les risques et vulnérabilités systémiques dans le domaine numérique ont été rassemblés en 6 groupes :

La dépendance aux composants-clés de l’industrie numérique s’est généralisée au cours des deux dernières années avec l’affaiblissement de la capacité industrielle européenne.

Au regard des moyens d’action dont disposait la commission d’enquête et du temps imparti de six mois, la rapporteure a dû faire des choix. Elle s’est concentrée sur les dépendances et vulnérabilités, à travers les deux sujets suivants :

– La mise en place de systèmes massifs de stockage et de traitement des données des personnes et des entreprises, comprenant le cloud et les infrastructures physiques le soutenant (data centers).

– Les vulnérabilités créées par le monopole de certains acteurs sur des briques logicielles essentielles au fonctionnement de notre économie et le contrôle de plateformes structurantes.

Les défis de l’open source

La rapporteure estime nécessaire de généraliser des standards ouverts partagés, permettant de lutter contre les positions monopolistiques des Big Tech, en garantissant que d’autres acteurs puissent les concurrencer en proposant leurs produits. Le renforcement des obligations d’interopérabilité constitue le second levier essentiel pour permettre la sortie des dépendances aux acteurs dominants et faire émerger un modèle différent. Les standards ouverts proposent de fait une alternative à l’écosystème propriétaire intégré, celle d’une architecture fédérée et décentralisée qui préserverait la qualité de l’expérience utilisateur. Cette interopérabilité est vectrice de résilience, puisqu’en cas de défaillance ou d’indisponibilité d’un maillon, il est possible de reporter les usages sur les autres et d’assurer la continuité de l’activité, là où la monoculture et la dépendance généralisée à un acteur unique créent un risque systémique.

Cadre réglementaire sur l’interopérabilité

• Data Act : En matière de cloud le règlement européen sur les données du 22 décembre 2023 vise à lever les barrières au changement de fournisseur et à favoriser le recours au multi-cloud en imposant des obligations de portabilité, d’interopérabilité et d’ouverture d’API, applicables depuis le 12 septembre 2025. La Commission européenne est habilitée à adopter des normes harmonisées ou des spécifications d’interopérabilité. Certaines mesures ont été introduites par anticipation en droit français par la loi Sren du 21 mai 2024. Celle-ci impose, en son article 28, que les fournisseurs de services cloud assurent leur interopérabilité avec les services d’autres fournisseurs, et la portabilité des actifs numériques entre les deux offres. Ils sont tenus de mettre à disposition des API et des informations suffisamment détaillées pour permettre à des services tiers de communiquer avec leurs services.

 L’Arcep est chargée de vérifier le respect de ces exigences, et d’en préciser les modalités par l’édiction de spécifications d’interopérabilité et de portabilité (recommandations d’octobre 2025).

• Concurrence DIGITAL MARKET ACT : Conformément au règlement sur les marchés numériques, les plateformes désignées comme contrôleurs d’accès doivent rendre leurs services interopérables avec ceux de leurs concurrents.
• L’article 6, paragraphe 7, du règlement prévoit une interopérabilité verticale, permettant aux tiers d’échanger avec les fonctionnalités matérielles et logicielles contrôlées par le système d’exploitation. Le 19 mars 2025, la Commission européenne a adopté deux premières décisions visant à préciser les obligations d’Apple pour améliorer la connectivité des appareils et des applications de fabricant tiers avec certaines fonctionnalités de l’iPhone, et renforcer l’efficacité et la transparence du traitement des demandes d’interopérabilité avec iOS par Apple. La Commission a également ouvert, en janvier 2026, une procédure pour vérifier que Google ne favorisait pas son service Gemini en limitant l’accès des fournisseurs tiers de services d’intelligence artificielle aux fonctionnalités d’Android (1).
• L’article 7 édicte une obligation d’interopérabilité horizontale spécifique pour leurs services de messagerie, en imposant aux contrôleurs d’accès de fournir sur demande et gratuitement les interfaces techniques nécessaires. Ils disposaient de six mois pour mettre en œuvre cette interopérabilité s’agissant des conversations individuelles, et de deux ans pour les conversations de groupe.
• l’article 53 prévoit que la Commission européenne doit évaluer à échéance régulière l’opportunité d’élargir l’obligation d’interopérabilité aux réseaux sociaux,

Le rôle de la puissance publique : initiative Open Interop

La rapporteure a rappelé le rôle clé de la puissance publique pour investir et définir des standards ouverts partages et contribuer à la consolidation des standards ouverts. La commande publique constitue à cet égard un levier majeur. Des standards partagés peuvent, enfin, favoriser la mutualisation des efforts entre le secteur public et le secteur privé.

l’initiative Open Interop lancée par le comité stratégique de filière Logiciels et solutions numériques de confiance a pour ambition de spécifier, documenter et développer des composants open source pour établir un socle technologique commun, avec des API fédérées, et permettre aux utilisateurs publics et privés une meilleure interopérabilité. Cette approche, soutenue par l’État, doit permettre de mieux articuler les outils développés par la Dinum avec les offres du marché, en garantissant la liberté de choix des ministères.

Référentiel général d’interopérabilité

La rapporteure relève que la France dispose déjà d’un référentiel général d’interopérabilité qui impose aux administrations l’utilisation de répertoires de données, de normes et de standards, tel que le prévoit l’article 11 de l’ordonnance n° 2005-1516 du 8 décembre 2005 (Ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives). La dernière mise à jour du référentiel est intervenue en 2016. À cet égard, M. Loïc Dayot a appelé à ce que les normes existantes « soient complétées et deviennent contraignantes » : « Actuellement, des commandes publiques qui ne respectent pas les référentiels généraux d’accessibilité, d’interopérabilité, de sécurité ou de sobriété peuvent encore être passées, ce qui n’est pas normal. Il serait vraiment intéressant de les renforcer. »

Par ailleurs, il est proposé de réduire les impacts négatifs de l’IA (l’IA frugale). La rapporteure souligne les problèmes générés par l’utilisation des modèles d’IA à grande échelle, dont :

•  la consommation d’électricité ;
•  l’opacité sur l’utilisation des données et les conditions d’entraînement des modèles.

L’AI Act ne contient aucune disposition contraignante sur le sujet de la performance énergétique des modèles. Les seules obligations sont celles prévues par le point 2 d) de l’annexe XI relative à la documentation technique pour les fournisseurs de modèles d’IA à usage général, qui prévoit que ces derniers doivent communiquer des informations concernant « la consommation d’énergie connue ou estimée du modèle ».

Dans le code de bonne pratique, le formulaire à remplir dans le cadre du chapitre relatif à la transparence comprend une section dédiée au calcul de la consommation d’énergie des modèles, reproduite ci-dessous :

Une consultation publique sur le sujet a été ouverte en avril 2026.

À ce stade les obligations ne portent que sur les informations à divulguer. La consultation envisage l’édiction d’« indicateurs de performance », sans que leur caractère obligatoire ne soit précisé.

La Dinum et le ministère chargé de la transition écologique ont fait paraître une fiche pratique pour l’achat responsable de solutions d’intelligence artificielle (https://ecoresponsable.numerique.gouv.fr/docs/2025/MINUMECO_fiche_IA_frugale_VF.pdf).

Elle contient notamment des clauses types à destination des acheteurs publics.

Le rapport mentionne également la difficulté d’une définition des modèles ouverts. « Contrairement aux logiciels traditionnels, ces modèles ne peuvent être définis par la seule ouverture de leur code source. D’autres paramètres devaient être pris en considération : le code, mais aussi l’architecture et surtout les conditions et données d’entraînement. »

Dans le cadre de sa recommandation n°18, il est indiqué de « Faire respecter la définition de l’open source dans son acception de l’OSAID 1.0, y compris par des moyens judiciaires. »

Le modèle proposé : un monde numérique ouvert

L’alternative proposée ne reposera pas sur la reproduction du modèle américain, mais sur l’affirmation d’un nouveau modèle, fondé sur un monde numérique ouvert. L’open source est considéré par la rapporteure et par l’Union européenne, comme un outil puissant au service de la réduction des dépendances au solutions imposées par les grandes entreprises de la tech. L’open source est au cœur de la stratégie de souveraineté politique européenne.

Il est proposé une définition du logiciel libre à partir de quatre libertés fondamentales. Elle met en lumière les atouts décisifs du logiciel libre dans la lutte contre les vulnérabilités et dépendances. Elle souligne l’important potentiel économique, qui repose sur une filière française très dynamique et leader européenne .

Les dix dernières années ont été celles d’un soutien sans conditions aux acteurs du numérique, avec l’espoir que la création de licornes résoudrait tous les problèmes. Pour la rapporteure, les prochaines doivent être celles de la redéfinition d’une véritable politique du numérique, axée sur trois objectifs :

• reconquérir la maîtrise de nos outils,
• faire respecter le droit, la drégulation n’apporterait rien et servirait les intérêts des technologies des Etats Tiers ;
• soutenir le développement d’un écosystème économique pérenne et diversifié.

Selon la rapporteure « L’alternative réside dans la création d’un écosystème technique et réglementaire qui permette à de nombreux acteurs de développer leurs solutions librement. Aucun d’entre eux ne doit maîtriser les conditions de développement des autres ni avoir un poids qui lui permette d’imposer ses produits ».

2 défis pour implémenter techniquement ce modèle :

•  Le premier est la conciliation entre la nécessité de disposer d’une multitude de solutions disponibles qui communiquent entre elles et le bénéfice des effets de réseau (plus les utilisateurs d’une solution sont nombreux, plus la valeur tirée des infrastructures numériques est importante).
• Le second est de créer les conditions économiques de la pérennité des logiciels libres, fondés sur des solutions open source gratuites.

Le modèle proposé repose sur 6 leviers qui devront être activés conjointement pour former une politique d’ensemble cohérente.

La rapporteure a formulé destinées à amorcer un véritable changement de modèle.

• 18 recommandations qui visent à remédier rapidement à des dysfonctionnements constatés ou à apporter des évolutions aux dispositifs existants.
• 29 propositions destinées à amorcer un véritable changement de modèle, afin de sortir des dépendances et vulnérabilités structurelles liées à l’utilisation des outils numériques extra-européens.

Elle propose notamment :

• Proposition n° 10 : Rendre obligatoire l’open source dans les marchés publics des administrations et des opérateurs de l’État, des entreprises publiques et des sociétés concessionnaires d’un service public d’ici le 1er janvier 2030.
  • Proposition n° 12 : Rendre obligatoire dans les marchés publics l’application de la fiche pratique pour l’achat responsable de solutions d’intelligence artificielle et du référentiel général d’interopérabilité.
• • Proposition n° 15 : Instaurer une préférence européenne (Buy European Act).
• • Proposition n° 17 : Intégrer une composante de souveraineté dans la certification Hébergeur de données de santé.
• • Proposition n° 18 : Prévoir le remboursement des aides à l’amorçage et du crédit impôt recherche en cas de vente d’une entreprise à un acteur extra-européen.
• • Proposition n° 22 : Instaurer un contrôle public du déploiement des data centers répondant à l’impératif de souveraineté.
  • Proposition n° 28 : Créer un ministère du numérique de plein exercice, auquel serait rattachée une autorité interministérielle du numérique dotée de prérogatives renforcées.

Pour en savoir plus ……

Rapport de la commission d’enquête sur les dépendances et vulnérabilités numériques de la France

TOME I

TOME 2 :COMPTE-RENDU