L'illusion de la souveraineté : où se trouve réellement le contrôle

L'illusion de la souveraineté : où se trouve réellement le contrôle

The hearing room where the illusion cracked

The Sovereignty Illusion starts with a public exchange that is small enough to quote in one meeting and large enough to expose the whole problem. A French Senate commission asks whether public data in Microsoft's French data centres can be guaranteed never to reach American authorities without French approval. Anton Carniaux, Microsoft's director of public and legal affairs in France, answers under oath on 10 June 2025 that he cannot guarantee it.

The data can sit in France. The service can be marketed with sovereign language. The legal reach can still cross the Atlantic. That is the crack the report follows downward through ownership records, capital flows, chip dependencies, cloud contracts, court powers, procurement habits, and company dossiers.

The useful question is not whether a vendor sounds European enough. It is who can reach the data, who can switch the system off, who funded the company, whose machines run the workload, and whose law wins when promises collide. The report matters because it makes those questions concrete enough to argue with.

Fifty companies are scored. Two hundred and nineteen companies and organisations are profiled. The evidence base points to 1,320 public sources. The home page puts the finding in numbers: an average score of 4.5 out of 10 across the fifty celebrated champions, only five clearing six, no leader reaching eight, and a gap of roughly 1.2 points between claimed sovereignty and measured reality. Those numbers are not there to make the prose look serious. They are there so the prose can be challenged.

The word that did too much work

Sovereignty is a comforting word. It lets a minister stand at a podium and sound as if control has been restored. It lets a vendor place a European flag beside a data-centre photograph and make a buyer feel safer. It lets a public body say that sensitive data remains on European soil and move the procurement forward. The report's first act names that performance as theatre, but not because it thinks everyone on stage is lying. The sharper point is that the theatre pays. The company wins the contract. The politician wins the headline. The investor gains a larger market. The buyer gains a file that looks defensible. The citizen gains a story simple enough to sleep on.

The report identifies four recurring scenes. A company opens a European office and lets the address stand in for control. A provider promises data residency and lets geography stand in for jurisdiction. A local firm partners with a foreign platform and lets branding stand in for ownership. A startup presents a European AI model while the training runs on American chips, American cloud and often American capital. Each move can be legal. Each can involve competent people and useful products. None of those facts settles sovereignty.

The report's vocabulary is deliberately practical. Digital sovereignty means control over technology: who can reach the data, who can switch systems off, and who writes the rules. The cloud is not an abstraction; it is someone else's computers in someone else's buildings, rented over a network. Data residency is not sovereignty; it is a statement about where the bits physically rest. A technology stack is not a logo; it is the tower beneath the service, from chips and data centres up through operating software and applications. Once those words are fixed, the comforting claims become testable.

Un rapport utile ne se contente pas de dire que le mot a été galvaudé. Il explique pourquoi l'abus est difficile à voir. La plupart des acheteurs vérifient l'identité, pas le contrôle. Ils voient un bureau local, un contrat en langue locale, un dirigeant national, un numéro d'assistance national. Les questions de contrôle se situent plus bas : qui détient les droits de vote, dont la propriété intellectuelle fait fonctionner le système, dont le capital a façonné le conseil d'administration, dont l'infrastructure héberge la charge de travail, dont la loi peut contraindre à la divulgation. La plaque signalétique peut être européenne tandis que les fondations, l'électricité et les clés maîtresses restent ailleurs.

Les cinq portes du tableau de bord

Le tableau de bord est la charnière du rapport. Quatre actes construisent l'argumentation ; puis le cinquième commence à compter. Chacun des cinquante champions européens de la technologie est noté de zéro à dix sur cinq dimensions : propriété, technologie, capital, infrastructure et exposition juridique. Le score final est une simple moyenne. La pondération égale est le point essentiel. Une solide histoire de propriété ne peut pas masquer une dépendance à des puces étrangères. Un centre de données européen ne peut pas masquer une exposition juridique américaine. Une marque nationale ne peut pas masquer une fondation cloud américaine.

La propriété demande qui détient les actions et les votes. La technologie demande si le produit principal est contrôlé par l'entreprise ou loué à des puces, des clouds et des couches logicielles étrangers. Le capital demande l'argent de qui a financé l'entreprise et à quelles conditions. L'infrastructure demande les puces, le cloud et l'installation physique de qui le service a besoin pour fonctionner. L'exposition juridique demande les tribunaux et les pouvoirs étatiques de qui peuvent finalement atteindre l'entreprise ou les données qu'elle traite. Ce ne sont pas des qualités optionnelles. Ce sont les portes par lesquelles le contrôle peut s'échapper.

Le rapport est prudent sur ce que les chiffres sont et ne sont pas. Ce sont des jugements structurés issus de documents publics, pas des mesures de laboratoire à deux décimales. Les entreprises privées divulguent moins que les entreprises publiques. La propriété change. Les cycles de financement se clôturent. Les règles d'exportation évoluent. Mais la forme de la distribution est trop grande pour être expliquée par une décision limite. Si le champion le plus célébré s'arrête à 7,4, si seulement cinq des cinquante atteignent six, et si la moyenne se situe à 4,5, la conclusion ne dépend pas du fait qu'une entreprise mérite un demi-point de plus.

Ce tableau est la méthode du rapport en miniature. Il oblige le lecteur à cesser de se demander si une entreprise se sent européenne et à commencer à se demander où se situerait le contrôle sous pression. En temps ordinaire, la distinction peut sembler théorique. En cas de litige sur les sanctions, de panne, d'ordre de surveillance, de crise de financement ou de migration forcée de plateforme, la distinction devient opérationnelle.

Le centre de données n'a jamais été toute l'histoire

La résidence des données est l'illusion la plus élégante parce qu'elle est souvent vraie. Un fournisseur peut réellement stocker des données à Francfort, Paris, Amsterdam ou Dublin. Un acheteur public peut réellement exiger un stockage européen. Une équipe de conformité peut réellement consigner cette exigence comme satisfaite. Le problème est que le lieu de stockage répond à la question de la géographie, pas à celle du contrôle.

L'acte juridique du rapport revient aux deux pouvoirs américains qui rendent cette distinction incontournable. Le CLOUD Act, adopté en 2018, peut contraindre une entreprise américaine à produire des données qu'elle contrôle, quel que soit l'endroit où elles sont stockées. L'article 702 du FISA permet aux agences de renseignement américaines d'exiger des fournisseurs de services américains qu'ils assistent à la surveillance de personnes non américaines hors des États-Unis, souvent sous le sceau du secret. Le rapport ne prétend pas que chaque ordre est émis ni que chaque ensemble de données est lu. Le point est structurel : une promesse européenne se situe sous une obligation légale étrangère lorsque le fournisseur est américain.

C'est pourquoi l'échange au Sénat français compte autant. Ce n'est pas une anecdote pittoresque. C'est la revendication de souveraineté réduite à un test par oui ou par non. Le produit avait été vendu comme souverain. Le centre de données était en France. La réponse ne pouvait toujours pas être oui. Un fournisseur peut améliorer les contrôles techniques, localiser ses opérations, ajouter des garanties contractuelles et restreindre les chemins d'accès. Ces mesures peuvent être utiles. Mais une atténuation utile n'équivaut pas à un contrôle final.

Le même schéma apparaît sur le marché du cloud. Le rapport décrit les hyperscalers américains captant entre les deux tiers et les trois quarts des dépenses cloud européennes, tandis que les fournisseurs européens se situent autour de 15 %. Il note également que les fournisseurs européens peuvent être réels et précieux sans être assez dimensionnés pour déplacer les acteurs établis. Scaleway et OVHcloud comptent précisément parce qu'ils montrent la différence entre un fournisseur européen et une étiquette européenne. Leur difficulté n'est pas un contrôle étranger caché. Leur difficulté est l'échelle, le capital et la demande.

Les entreprises ne sont pas des méchants de dessin animé

Une des raisons pour lesquelles le rapport fonctionne est qu'il refuse l'histoire du méchant facile. Il n'a pas besoin que chaque entreprise soit cynique. Il n'a pas besoin que chaque dirigeant soit évasif. Beaucoup des entreprises décrites sont impressionnantes. ASML est un joyau de la couronne européenne. Mistral développe des modèles performants et conserve un véritable talent d'ingénierie en Europe. Aleph Alpha a été une sérieuse tentative allemande de bâtir un champion européen de l'IA souveraine. La question du rapport n'est pas de savoir si ces entreprises sont bonnes. Elle est de savoir si la structure de contrôle sous-jacente à la revendication correspond au mot souverain.

Mistral est l'exemple le plus net de cette distinction. Le rapport constate une histoire de propriété plus solide que ne le laissent entendre de nombreux titres : les fondateurs détiennent toujours une part substantielle du capital et conservent le contrôle des décisions, et ASML a pris une participation majeure. Ensuite, la dépendance se déplace vers la salle des machines. Entraîner de véritables modèles de fondation exige toujours des puces Nvidia. Microsoft a pris une participation et a offert des voies de partenariat via Azure. Les grandes levées de fonds font appel à des capitaux étrangers. La salle du conseil est peut-être plus européenne que ne le suggèrent les critiques ; la pile de calcul est moins souveraine que ne l'exigent les besoins du marketing.

Aleph Alpha illustre la version la plus difficile. Le rapport décrit une entreprise fondée à Heidelberg et célébrée comme championne allemande de l'IA souveraine. Elle a réalisé une importante levée de fonds en 2023 menée par Schwarz Group et Bosch, une grande partie des annonces portant sur des engagements et des subventions plutôt que sur de nouveaux capitaux propres. L'histoire du capital semblait plus allemande que celle de nombreux pairs de l'IA. Pourtant, les modèles étaient toujours entraînés sur des puces Nvidia. Puis, dans le récit du rapport pour 2026, l'entreprise canadienne Cohere a absorbé Aleph Alpha dans le cadre d'un accord qui a laissé aux actionnaires allemands une part minoritaire d'un groupe étranger. Le propos n'est pas que l'entreprise a échoué moralement. Le propos est que la souveraineté peut se perdre par des voies normales de financement et de mise à l'échelle.

Même ASML, l'entreprise que l'Europe peut le plus plausiblement présenter comme indispensable à l'échelle mondiale, est traitée avec la même rigueur. Le rapport reconnaît sa position de monopole dans la lithographie ultraviolette extrême et sa réalité industrielle néerlandaise. Il suit également les fils de la propriété institutionnelle américaine, des pressions à l'exportation et des dépendances autour de l'écosystème des semi-conducteurs. Le joyau de la couronne est réel. Les ficelles le sont aussi.

Ce que les preuves peuvent faire que les slogans ne peuvent pas

Un slogan peut dire que l'Europe devrait être souveraine. Les preuves peuvent montrer où elle ne l'est pas. Cette différence importe parce que tout remède sérieux commence par refuser le diagnostic rassurant. Si le problème était seulement un manque d'ambition, l'Europe pourrait publier une autre stratégie. Si le problème était seulement une absence de talents, l'Europe pourrait financer davantage de recherche. Le rapport montre quelque chose de plus tenace : la demande, le capital, les achats, l'exposition juridique et les infrastructures ont formé un schéma qui récompense la dépendance tout en la décrivant comme une autonomie.

L'acte de l'argent suit la propriété et le capital vers l'ouest. L'acte des machines suit les puces et le cloud. L'acte du droit suit la juridiction. L'acte des preuves note les entreprises. L'acte des conséquences décrit le triangle dans lequel les États-Unis possèdent une grande partie de la pile, la Chine construit la sienne et l'Europe reste le client privilégié. L'acte du piège explique pourquoi des choix rationnels ordinaires reproduisent sans cesse la même dépendance. Puis l'acte du plan expose des voies coûteuses mais pas fantaisistes : réorienter les capitaux des pensions, utiliser les achats publics comme premier client, construire des infrastructures communes, soutenir les fournisseurs européens et mutualiser le calcul que l'Europe possède déjà.

L'affirmation la plus utile du rapport est presque facile à manquer : la dépendance est un choix, pas une fatalité. Chaque mur a une porte. Les migrations du secteur public allemand vers des outils open source, les veto néerlandais sur les acquisitions sensibles, les certifications et les achats publics français, les infrastructures de paiement européennes, le calcul public et les normes ouvertes apparaissent tous comme des portes imparfaites mais réelles. Le problème n'est pas qu'aucune issue n'existe. Le problème est que chaque issue est plus lente, plus difficile et moins confortable que de renouveler le contrat familier.

Voilà pourquoi le rapport parle autant d'achats que d'invention. Les prestataires européens n'ont pas seulement besoin d'applaudissements, ils ont besoin de commandes. Une startup ne grandit pas grâce aux éloges. Un fournisseur de cloud ne devient pas fiable parce qu'un ministre évoque l'autonomie stratégique. Il devient fiable lorsque des clients sérieux le paient, le mettent à l'épreuve, exigent un support, financent des améliorations et restent assez longtemps pour que le produit arrive à maturité. Le rapport revient sans cesse sur cette vérité sans éclat, car le piège est lui aussi sans éclat.

Comment lire les dossiers

Le chapitre des dossiers est la partie qui distingue le plus nettement un rapport d'un discours de campagne. Il présente 219 entreprises et organisations citées dans le rapport, bien plus que les cinquante champions notés. Chaque profil est rattaché aux mêmes cinq dimensions : propriété, technologie, capital, infrastructures et exposition juridique. Une note faible pour une entreprise américaine n'est pas un jugement de qualité. Elle indique simplement que l'entreprise représente une dépendance plutôt qu'une souveraineté européenne. Cette distinction garantit l'honnêteté de la méthode.

Pour un acheteur, les dossiers constituent un ensemble d'entraînement à la due diligence. Ils enseignent l'habitude de lire au-delà de la marque. Pour un décideur politique, ils montrent où les règles et la demande modifieraient réellement le marché. Pour un investisseur, ils révèlent l'écart entre la valeur stratégique et l'allocation actuelle du capital. Pour un citoyen, ils transforment un vague malaise en questions précises qui peuvent être posées publiquement : à qui appartient l'entreprise ? Sur quoi fonctionne-t-elle ? Qui l'a financée ? Où se trouvent les données ? Quelle loi s'applique ?

Le rapport prend également soin de définir la confiance. Les preuves publiques ont leurs limites. Les tables de capitalisation privées sont incomplètes. Certains chiffres sont des instantanés. Mais l'incertitude n'est pas une raison pour ignorer la structure. Si une équipe d'achat d'un hôpital ne peut pas tout savoir, elle peut encore en savoir assez pour distinguer un prestataire détenu par des Européens et exploitant ses propres centres de données d'une plateforme étrangère dotée d'une coquille locale. Si un ministère ne peut pas prédire le droit futur, il peut encore éviter de prétendre que la résidence des données annule l'exposition juridique. Si un investisseur ne peut pas prévoir la sortie, il peut encore se demander si le prochain tour de table déplace le contrôle hors d'Europe.

Le lendemain des preuves

L'épilogue revient à la première scène et demande ce qui change après avoir regardé. La réponse n'est pas automatique. Un rapport ne peut pas faire agir un continent. Il peut seulement rendre certaines excuses plus difficiles à répéter. Après avoir lu les preuves, le prochain communiqué de presse sur l'IA souveraine devrait sonner différemment. Le prochain appel d'offres pour le cloud devrait être lu avec un autre regard. La prochaine annonce de centre de données devrait susciter une seconde question : qui possède les machines et les obligations juridiques derrière le bâtiment ?

La conclusion du rapport est volontairement sobre. L'Europe n'est pas pauvre. Elle n'est pas dépourvue de talents. Elle n'est pas faible. Elle est confortable, et elle a confondu confort et contrôle. Cette phrase n'est pas du désespoir. C'est un diagnostic qui contient une capacité d'action. La pauvreté serait plus difficile. Le manque de talents serait plus difficile. Une préférence bien établie pour le familier peut être modifiée, mais seulement si assez d'institutions cessent de traiter la souveraineté comme une étiquette et commencent à la traiter comme une propriété d'ingénierie, d'achat et de droit.

Ainsi, la valeur pratique de The Sovereignty Illusion n'est pas de donner aux lecteurs un nouveau slogan. Il leur donne une liste de contrôle et une charge de la preuve. Un fournisseur qui revendique la souveraineté devrait pouvoir montrer la propriété, la technologie, le capital, les infrastructures et le contrôle juridique. Un gouvernement qui revendique l'autonomie devrait pouvoir pointer des achats qui favorisent des infrastructures contrôlées là où cela compte. Un investisseur qui revendique un alignement stratégique devrait pouvoir montrer un capital européen patient. Un citoyen qui entend le mot souveraineté devrait savoir que le mot lui-même ne prouve rien.

Lisez-le comme un rapport. Gardez-le près des décisions, pas sur une étagère. Sa force ne réside pas dans un titre spectaculaire, ni dans le fait qu'il comporte des chapitres. Sa force réside dans le test qu'il laisse derrière lui : quand quelqu'un vend l'indépendance de l'Europe, demandez où se trouve réellement l'interrupteur d'arrêt.