L'Europe a besoin de souveraineté technique, pas de théâtre
Le drapeau sur le projecteur
La salle comptait trois drapeaux, deux conseillers politiques, un avocat spécialisé en marchés publics et un projecteur qui avait besoin d'exactement sept minutes pour admettre qu'il avait un problème. La réunion portait sur la souveraineté numérique européenne. Les diapositives étaient impressionnantes de la manière habituelle : fonds bleus, noms nobles, une carte avec des nœuds lumineux, et une phrase sur l'autonomie stratégique qui avait visiblement survécu à de nombreux comités. Puis la démonstration a échoué parce que le service d'identité était inaccessible, que le service d'assistance ne voyait pas le locataire, et que personne dans le bâtiment n'avait le droit de redémarrer la partie qui comptait.
Rien de dramatique ne s'est produit. Personne n'a prononcé de discours historique. Quelqu'un a trouvé une solution de contournement via un point d'accès personnel, ce qui est souvent la façon dont la civilisation avoue ses faiblesses. La réunion a continué. Les diapositives sont revenues. Mais l'échec avait déjà expliqué le sujet mieux que le discours d'ouverture. L'institution voulait la souveraineté comme posture politique. Le système voulait la souveraineté comme capacité opérationnelle. La deuxième version est moins photogénique. C'est aussi la seule version qui fonctionne à 16 h 40 un jeudi lorsqu'un service réel est en panne.
L'Europe ne manque pas de discours sur la souveraineté. Elle manque d'un pouvoir suffisant, ennuyeux, répétable et techniquement fondé sur les systèmes qui font tourner la vie publique, la recherche, l'industrie, l'éducation, la santé, la finance, la logistique et l'administration civique. La souveraineté technique n'est pas le fantasme de tout faire seul. C'est la capacité de conserver suffisamment de maîtrise sur les couches critiques pour qu'une institution puisse agir selon ses propres devoirs lorsque les marchés, les fournisseurs, les réseaux, les lois, les prix ou la politique bougent.
Le théâtre commence lorsque la souveraineté devient une étiquette plutôt qu'une capacité. Une région cloud est dite souveraine alors que le plan de contrôle, les clés, la facturation, la chaîne d'approvisionnement logicielle et le support d'urgence se trouvent ailleurs. Un cadre d'achat est dit stratégique alors que la sortie n'a jamais été testée. Une plateforme nationale est dite indépendante alors qu'elle dépend de connaissances non documentées du personnel et d'un seul fournisseur avec une facture héroïque. Le drapeau sur le projecteur n'est pas le problème. Le problème, c'est de le confondre avec l'architecture.
Posséder le mot, ce n'est pas posséder la pile
Le mot souveraineté est devenu assez élastique pour couvrir presque n'importe quel programme technologique avec un air sérieux. C'est pratique et dangereux. Si tout est souveraineté, alors rien n'a besoin d'être mesuré. Une définition sérieuse doit survivre au contact avec l'infrastructure. L'institution peut-elle corriger le service sans demander la permission à la mauvaise partie. Peut-elle faire tourner les clés. Peut-elle inspecter des journaux indépendants du fournisseur inspecté. Peut-elle déplacer des données sous une forme utilisable. Peut-elle continuer à fonctionner pendant un litige. Peut-elle refuser un parcours d'assistance. Peut-elle expliquer qui avait le pouvoir sur un enregistrement hier.
Ces questions sont volontairement simples, car la souveraineté technique est, pour l’essentiel, un travail simple. Elle est la somme de compétences locales, d’interfaces suffisamment ouvertes, de dépendances maîtrisées, d’opérateurs responsables, de preuves vérifiables, de reprises testées et de droits juridiques correspondant à la réalité technique. Elle n’est pas une question de pureté. Elle n’est pas non plus un bunker. Elle n’est pas davantage un confort acheté en externalisant chaque verbe difficile. Une institution souveraine peut s’appuyer sur des fournisseurs, mais elle doit rester l’acteur principal, et non un client attendant qu’une feuille de route prenne en compte son devoir public.
L’Europe y est particulièrement sensible, car nombre de ses systèmes essentiels se situent entre les obligations publiques et l’infrastructure de marché. Une autorité de l’eau, un hôpital, une université, une municipalité, un opérateur portuaire, un fabricant et une école n’ont pas des profils de risque identiques, mais ils dépendent tous de couches numériques qui peuvent déplacer l’autorité en silence. L’identité, la télémétrie, le stockage, les référentiels de paquets, les modèles de fondation, l’approvisionnement en puces, les outils de déploiement, les mises à jour de sécurité et les canaux de paiement façonnent tous ce que ces institutions peuvent faire. La souveraineté n’est pas un produit unique. C’est une position sur l’ensemble d’une pile.
La version théâtrale demande si un système porte le bon label. La version technique demande où se trouve le commandement quand quelque chose tourne mal. Un label peut s’acheter en un après-midi. Le commandement doit être conçu, doté en personnel, financé, répété et gouverné. C’est pourquoi il perd souvent face au théâtre à court terme. Le théâtre est plus rapide. La réalité a l’agacement d’aimer les reçus.
La chaîne de dépendances est plus longue que le contrat
Les documents d’appel d’offres sont doués pour nommer la partie qui envoie la facture. Ils le sont moins pour nommer chaque dépendance technique qui donne à cette partie, ou à quelqu’un derrière elle, un pouvoir pratique. Un service peut être acheté auprès d’un fournisseur européen et dépendre néanmoins d’un processeur étranger, d’un plan de gestion à distance, d’un fournisseur d’identité mondial, d’un écosystème de paquets, d’un point de terminaison de modèle, d’une autorité de certification, d’un flux de télémétrie, d’une équipe de support spécialisée, d’une chaîne d’approvisionnement en puces et d’une interprétation juridique que personne ne veut tester un mauvais jour.
Tout cela ne signifie pas que le service est automatiquement mauvais. Les systèmes modernes sont des machines coopératives. La dépendance est normale. Le danger, c’est la dépendance invisible. Si une institution ne peut pas décrire quelles dépendances sont critiques, lesquelles sont remplaçables, lesquelles comportent une exposition juridique, lesquelles sont des goulets d’étranglement opérationnels et lesquelles empêcheraient une sortie, elle ne peut pas les gouverner. Elle n’est pas indépendante parce que la brochure est locale. Elle est dépendante dans une langue qu’elle n’a pas appris à lire.
La souveraineté technique a donc besoin d’un registre des dépendances qui ait des dents. Non pas une feuille de calcul décorative qui devient une pièce d’archéologie au prochain cycle budgétaire, mais une carte vivante utilisée lors de la revue d’architecture, de la réponse aux incidents, de la négociation avec les fournisseurs et de l’audit. Le registre devrait inclure les dépendances du code source, les plateformes d’exécution, les autorités d’identité, la gestion des clés, les magasins de données, les sauvegardes, les journaux, les services de modèles, les canaux de mise à jour, les voies de support humain, les droits d’exportation et les compétences nécessaires pour exploiter le service. Si cela semble peu romantique, c’est que ça l’est. Tout comme les freins.
Le registre devrait également consigner le comportement sous contrainte. Que se passe-t-il si la liaison réseau tombe. Que se passe-t-il si le compte est suspendu. Que se passe-t-il si les prix augmentent. Que se passe-t-il si un régulateur demande des preuves. Que se passe-t-il si le fournisseur est acquis. Que se passe-t-il si le point de terminaison du modèle change de comportement. Les diagrammes normaux montrent comment des systèmes heureux coopèrent. Les diagrammes de souveraineté montrent ce qui fonctionne encore lorsque la coopération devient coûteuse, lente ou juridiquement délicate.
Les plans de contrôle sont politiques
Les ingénieurs savent que le plan de contrôle compte. Les conseils d'administration le découvrent souvent tardivement. Le plan de données transporte le travail : enregistrements, messages, tâches, requêtes. Le plan de contrôle décide où va ce travail, qui peut y toucher, ce qui est journalisé, quand il est supprimé, quelle version s'exécute, quelle politique s'applique, quelles clés le déverrouillent et quel opérateur peut intervenir. Si le plan de données est la route, le plan de contrôle est l'autorité qui change les panneaux, ferme le pont et fait passer tout le monde par un tunnel que personne n'avait budgété.
Un système peut conserver ses données en Europe tandis que son plan de contrôle relève d'une autorité opérationnelle, juridique ou économique différente. Cette distinction n'est pas de la pédanterie. Si le plan de contrôle peut suspendre des comptes, modifier le routage, exiger un accès de support, changer la conservation, pousser des mises à jour ou modifier les prix, il façonne l'autonomie pratique de l'institution. Des données locales sans contrôle local, c'est un placard verrouillé dont la clé de secours est détenue par quelqu'un qui vit à un autre rythme.
C'est particulièrement important pour les systèmes d'IA, car le plan de contrôle inclut désormais la sélection des modèles, les sources de récupération, les modèles de prompt, les filtres de politique, les ensembles d'évaluation, la télémétrie, les magasins d'embeddings, les files de revue humaine et les boucles de rétroaction. Un document peut rester à l'intérieur d'une frontière nationale pendant que des prompts, des traces, des scores ou des vecteurs dérivés circulent dans des outils distants. La question de la souveraineté ne porte pas seulement sur l'endroit où repose le document. Elle porte sur qui décide de ce que le modèle peut voir, de ce que le modèle peut dire, des preuves conservées et de ce qui se passe lorsque la réponse est contestée.
L'Europe a besoin d'une culture du plan de contrôle au niveau des conseils d'administration, non pas parce que chaque administrateur devrait devenir ingénieur d'infrastructure, mais parce qu'ils approuvent des dépendances qui deviennent un pouvoir institutionnel. Le test pratique est simple : si une décision critique concernant le système doit être prise pendant un incident, qui peut la prendre, sous quelle autorité, avec quelles preuves, et à quelle vitesse. Si la réponse est une chaîne de tickets et d'espoir, le programme de souveraineté a peut-être besoin de moins de théâtre et de plus de clés.
La couche de compétences fait partie du système
La souveraineté technique est souvent discutée comme si les machines et les contrats suffisaient. Ce n'est pas le cas. Un système n'est opérationnellement souverain que si des personnes proches savent comment il fonctionne assez bien pour agir. Cela ne signifie pas que chaque institution doive maintenir un laboratoire matériel complet, écrire sa propre base de données et compiler un noyau avant le petit-déjeuner. Cela signifie que les connaissances critiques ne peuvent pas être entièrement externalisées. Quelqu'un doit comprendre l'architecture, le modèle de données, les modes de défaillance, le chemin de récupération, la piste de preuve, les contrôles de sécurité et les leviers de coût.
La perte de compétences est une fuite silencieuse de souveraineté. Elle ressemble rarement à une crise. Elle ressemble à une équipe qui sait ouvrir les tableaux de bord des fournisseurs mais ne peut pas inspecter la traçabilité. Elle ressemble à un service achats qui sait comparer les prix mensuels mais pas les coûts de sortie. Elle ressemble à une fonction conformité qui reçoit des rapports mais ne peut pas reproduire les preuves. Elle ressemble à une équipe d'exploitation qui sait escalader mais pas restaurer. À terme, l'institution confond l'accès au service avec la capacité. La différence devient visible lorsque l'accès au service est retiré, renégocié à la hausse ou insuffisant.
Il y a ici un enjeu de formation, et l'Europe devrait le prendre au sérieux. La souveraineté technique exige des administrateurs qui comprennent la garde des données, des juristes qui comprennent les plans de contrôle, des ingénieurs qui comprennent le devoir public, des gestionnaires qui comprennent les exercices de sortie, et des conseils d'administration capables de distinguer une étiquette de région d'un contrôle opérationnel. Ce n'est pas glamour. C'est de la supervision adulte pour les infrastructures. Le continent a construit des chemins de fer, des réseaux d'eau, des organismes de normalisation et des institutions publiques. Il peut probablement survivre à un programme de formation sans s'évanouir.
Les compétences changent aussi la relation avec les fournisseurs. Une institution capable est un meilleur client. Elle peut poser des questions précises, rejeter des preuves faibles, tester les promesses, négocier la sortie et décider où l'expertise externe est réellement utile. Un client démuni est plus facile à apaiser et plus difficile à respecter. La souveraineté n'exige pas d'hostilité envers les fournisseurs. Elle exige une compétence suffisante pour avoir une vraie conversation.
Les normes ne sont pas de la paperasse quand elles créent une vraie sortie
L'Europe est souvent moquée, parfois par les Européens eux-mêmes, pour son amour des normes. Soit. Nous avons produit des documents capables d'assommer une chaise. Mais les normes ne sont pas de la paperasse quand elles créent une vraie sortie. Les formats ouverts, les interfaces documentées, les charges de travail portables, les journaux vérifiables, l'identité interopérable, les builds reproductibles et les contrats de données clairs sont des outils de souveraineté. Ils réduisent la pénalité liée au changement. Ils permettent aux institutions de coopérer sans s'effondrer dans un seul fournisseur, une seule plateforme ou un seul projet national chéri avec une papeterie excellente.
Le mot important est réel. Un format n'est pas ouvert au sens utile si l'exportation perd les métadonnées, les permissions, la provenance et le contexte. Une API n'est pas portable si la sémantique vit dans un article d'assistance. Un modèle n'est pas remplaçable si l'ensemble d'évaluation, les invites et les index de récupération sont verrouillés dans un outil qui ne peut pas être reproduit. Un journal n'est pas une preuve s'il peut être modifié par l'acteur même qui est audité. Les normes doivent toucher le comportement opérationnel, pas seulement la syntaxe.
C'est ici que la politique européenne peut aider, sans prétendre construire chaque système depuis le centre. Elle peut exiger des tests de sortie pour les systèmes publics critiques. Elle peut financer des implémentations de référence partagées. Elle peut soutenir des critères d'achat ouverts qui récompensent la portabilité et les preuves indépendantes. Elle peut créer une certification qui mesure les déplacements réels, la récupération et l'auditabilité. Elle peut maintenir des composants stratégiques là où les marchés ne les fournissent pas. Elle peut aussi cesser de traiter la documentation comme un passe-temps moral facultatif.
Les normes deviennent du théâtre lorsqu'elles n'existent que comme artefacts de conformité. Elles deviennent des infrastructures lorsque les ingénieurs les utilisent, que les auditeurs les testent, que les acheteurs les exigent et que les utilisateurs en bénéficient. La différence, c'est la pratique. Une norme qui n'a jamais été utilisée lors d'une migration est une théorie très polie.
Le local d'abord ne signifie pas l'isolement
Un risque dans les débats sur la souveraineté est le glissement du contrôle vers l'isolement. L'Europe n'a pas besoin d'un royaume numérique ermite. La recherche, le commerce, le travail climatique, la médecine, la fabrication, la culture et la sécurité dépendent tous de la collaboration. Les données doivent traverser les frontières lorsque l'objectif est légitime, que l'autorité est claire, que les protections sont réelles et que le chemin de retour est compris. La souveraineté technique n'est pas la peur de la connexion. C'est une connexion sans amnésie.
Une posture de local d'abord commence par le devoir de l'institution et s'étend délibérément vers l'extérieur. Quelles données doivent rester sous garde locale. Quel calcul peut s'exécuter ailleurs. Quel modèle peut être externe. Quelles preuves doivent être conservées indépendamment. Quelles clés doivent rester sous gouvernance européenne. Quels fournisseurs sont acceptables pour quelle classe de sensibilité. Quelles charges de travail doivent être portables. C'est un processus de conception, pas une humeur.
Les architectures fédérées compteront. Au lieu de centraliser chaque capacité ou d'isoler chaque institution, l'Europe peut construire des protocoles partagés, des formats de preuve communs, des modèles opérationnels sectoriels et des mécanismes d'échange fiables. Un hôpital ne devrait pas avoir à devenir une entreprise de cloud. Une municipalité ne devrait pas avoir à inventer la cryptographie. Un consortium de recherche ne devrait pas avoir à abandonner la collaboration pour rester responsable. Des fondations partagées peuvent accroître la souveraineté si elles préservent l'autorité locale plutôt que de l'absorber.
L'ennemi pratique n'est pas l'étrangeté. C'est la dépendance non gouvernée. Un fournisseur local peut piéger une institution. Un outil étranger peut être approprié pour un travail à faible risque. Une plateforme européenne peut être mal exploitée. Un service mondial peut être enveloppé de clés locales, d'une sortie claire et de journaux indépendants. La question n'est pas de savoir d'où vient le logo. La question est de savoir si l'institution peut encore obéir à son devoir lorsque le chemin facile cesse d'être facile.
L'argent doit suivre la revendication
La souveraineté technique coûte de l'argent parce que la capacité coûte de l'argent. Le personnel, les tests, la documentation, les interfaces ouvertes, les opérations redondantes, le contrôle local des clés, les pistes d'audit indépendantes, les répétitions de migration et les réserves stratégiques apparaissent tous comme des coûts avant d'apparaître comme des libertés. C'est politiquement délicat. Le théâtre est moins cher dans l'année budgétaire en cours. Un tableau de bord coûte moins cher qu'un exercice de récupération. Une promesse coûte moins cher qu'un test de sortie. C'est pourquoi les services financiers sont accidentellement centraux à la souveraineté.
La comptabilité doit inclure les coûts de dépendance. Combien cela coûte-t-il lorsqu'un fournisseur augmente ses prix. Combien cela coûte-t-il lorsque les données ne peuvent pas être déplacées. Combien cela coûte-t-il lorsqu'un service public attend dans une file d'attente de support à distance. Combien cela coûte-t-il lorsqu'un changement de modèle ne peut pas être expliqué. Combien cela coûte-t-il lorsque les preuves sont insuffisantes. Combien cela coûte-t-il lorsque chaque projet paie pour une intégration personnalisée parce qu'aucune interface commune n'a été financée. Les systèmes bon marché peuvent être coûteux à l'avenir avec une discipline impressionnante.
Sovereignty should therefore be treated as a portfolio of options. Some systems deserve high local control. Some deserve portability and strong exit. Some deserve shared sector platforms. Some can use commodity services with modest controls. The point is not to push every workload to the most controlled point. That would be wasteful and possibly comic. The point is to price the loss of control honestly and choose deliberately.
Europe also needs patience. Strategic capacity is built over years. If funding arrives only as short bursts around political announcements, institutions will buy theatre because theatre is what short bursts reward. Technical capacity needs boring continuity: maintenance grants, shared testbeds, training, procurement templates, reference architectures, local operators, and enough money for the unglamorous work that prevents later panic.
Evidence beats slogans
The cure for sovereignty theatre is evidence. Do not ask whether a system is sovereign in general. Ask for the last restore drill. Ask who holds the keys. Ask for the export report. Ask which logs are independent. Ask how a model change is approved. Ask how a support engineer is constrained. Ask what happens if the supplier account is suspended. Ask whether the institution can run the service for a week under degraded conditions. Ask who can explain the decision to a citizen, patient, student, researcher or customer.
These questions do not require cynicism. They require respect for the seriousness of the work. Public institutions and critical companies should not have to live on slogans. They deserve systems whose claims can be inspected. Engineers also deserve this clarity. It is unfair to ask teams to deliver sovereignty while buying architectures that deny them the powers required to operate. The theatre version burdens engineers with impossible promises. The technical version gives them contracts, tools, authority and tests.
Evidence also calms the debate. Sovereignty can become ideological very quickly, usually before the coffee is finished. Evidence brings it back to decisions. This dataset is controlled here. This workload can move in these conditions. These keys are held by this authority. This model is evaluated against this set. This log is independent. This supplier access is bounded. This exit path has been tested. People can disagree about the desired posture, but at least they are disagreeing about facts instead of mist.
The plainest truth is that Europe does not become technically sovereign by declaring it. It becomes more sovereign each time an institution can inspect, operate, refuse, repair, move and prove without discovering that the important power lives somewhere unnamed. That is slow work. It is also how infrastructure becomes trustworthy.
The work under the flag
There is nothing wrong with wanting European systems to express European duties. Privacy, public accountability, fair markets, institutional pluralism, democratic oversight and social trust are not minor preferences. They are part of why the discussion matters. But values do not run services by themselves. They need runtime, keys, logs, skills, standards, contracts, money and operators. Otherwise values become a banner above a dependency graph nobody can read.
The work under the flag is simple to name and hard to do. Map the stack. Keep local competence. Own the critical keys. Demand export that works. Test recovery. Record dependencies. Price exit. Fund shared standards. Build evidence. Treat AI derivatives as governed data. Give operators authority equal to their responsibility. Stop buying slogans when the missing part is an operating model.
Technical sovereignty will never be as satisfying as theatre. It will not produce a perfect photo. It will produce fewer surprises, better bargaining positions, stronger public services, more credible AI governance and institutions that can still act when conditions change. Europe does not need to do everything itself. It needs to know which things it must be able to do, prove and change without asking the wrong permission.
The flag can stay on the projector. It is not offensive. It may even be useful. But the test of sovereignty is not whether the flag is visible when the system works. The test is who can act when it does not.