Le coût de changer d’avis

Aujourd’hui, 8 septembre 2026, Mistral a annoncé une série D de 3 milliards d’euros, à une valorisation post-money « supérieure à 21 milliards », menée par Samsung Electronics avec le Scaleup Europe Fund géré par EQT et PSG Equity comme co-leads. Il y a un an, le 9 septembre 2025, c’était une série C de 1,7 milliard menée par ASML, à 11,7 milliards. Le communiqué d’aujourd’hui ne parle pas de meilleurs modèles. Il parle de « sovereign AI layer », de contrôle sur les données, les modèles, le calcul et les systèmes en production. En 2026, le mot souveraineté est dans le titre, et c’est le vendeur qui l’y met.

Trois mois plus tôt, le 3 juin, en présentant le paquet européen sur la souveraineté technologique, Henna Virkkunen avait prononcé la phrase que les journaux ont mise en titre : « We want to be sure nobody has a kill switch ». Nous voulons être sûrs que personne n’a d’interrupteur pour nous éteindre. Le communiqué officiel est plus posé : deux propositions législatives, le Chips Act 2.0 et le Cloud and AI Development Act, une stratégie pour l’open source, une feuille de route pour l’énergie, l’objectif de tripler la capacité des centres de données européens en cinq à sept ans, et « un cadre unique à l’échelle de l’Union pour évaluer la souveraineté du cloud et de l’IA ». Le 15 septembre se clôt la consultation ciblée sur la souveraineté des données qui accompagne le paquet. Elle demande aux entreprises quelles dépendances les concernent, quels obstacles elles rencontrent pour transférer des données vers l’Europe, quels risques elles voient dans l’accès de pays tiers aux données sensibles.

Ce sont les questions que nous nous posons depuis des années, et ce sont des questions de provenance. Où se trouve le centre de données. Où le fournisseur a son siège. Qui possède le modèle. Sous quelle juridiction opère l’entreprise qui détient les données. Dans le colophon de ce site, à la rubrique souveraineté, j’ai écrit « qui a la main sur le kill-switch », et je le maintiens : ce sont des questions importantes, décisives dans certains secteurs. Mais je soupçonne qu’elles ne décrivent pas la propriété la plus importante de la souveraineté, et qu’à ne poser que celles-là nous confondons une chose mesurable avec une chose qui lui ressemble.

Une entreprise peut utiliser exclusivement de la technologie européenne et être profondément dépendante. Une autre peut utiliser de la technologie américaine et conserver une autonomie considérable. La différence tient à une question bien plus simple que toutes celles ci-dessus : si je veux changer de décision demain, puis-je vraiment le faire ? Pas en théorie. Pas parce que le contrat contient une clause d’exportation des données. Pas parce qu’un endpoint compatible existe. Économiquement, techniquement et organisationnellement. La souveraineté pourrait être précisément cela : la capacité de conserver des options réelles après avoir choisi.

Provenance et souveraineté ne sont pas la même chose

Le raisonnement intuitif est linéaire. Fournisseur européen, plus de souveraineté. Fournisseur américain, moins. Et il est compréhensible, parce qu’un opérateur européen réduit réellement certaines catégories de risque : l’extraterritorialité du droit d’autrui, la dépendance géopolitique, l’accès depuis des juridictions tierces, la concentration industrielle. Les chiffres de la concentration sont connus. Selon Synergy Research Group, les fournisseurs européens pèsent 15 % du marché européen du cloud, contre 29 % en 2017, et Amazon, Microsoft et Google en détiennent ensemble 70 % ; les deux premiers Européens, SAP et Deutsche Telekom, sont à 2 % chacun, sur un marché qui valait 61 milliards d’euros en 2024. La Commission estime que l’Union dépend de pays tiers pour plus de 80 % des produits, services, infrastructures et propriété intellectuelle numériques clés. Qui achète de l’infrastructure publique ou critique a toutes les raisons de regarder le passeport.

Mais le passeport du fournisseur ne dit encore rien d’une autre propriété fondamentale : combien coûte le départ.

Imaginons un cloud entièrement européen. Les données sont en Europe, la société est européenne, le contrat est soumis au droit européen. Le produit, pourtant, repose sur des API propriétaires, sur une base de données qui ne s’exporte que dans son propre format, sur un modèle d’identité sans équivalent ailleurs, sur des services managés que personne d’autre n’offre sous la même forme, sur des tarifs qui récompensent le volume et punissent qui réduit. Nous sommes certainement plus européens. Il est beaucoup moins évident que nous soyons plus souverains. Nous avons déplacé le risque de juridiction et laissé intact, ou augmenté, le coût de sortie.

L’objection inverse mérite le même respect, car il serait trop commode de conclure que la provenance ne compte donc pas. Elle compte énormément. Une infrastructure entièrement dépendante d’acteurs soumis à un autre ordre juridique contient des risques qu’aucune bonne API n’élimine. Les sanctions existent. Les restrictions à l’exportation existent. Les injonctions gouvernementales existent, et le CLOUD Act américain, que Virkkunen a cité ce même jour comme la raison pour laquelle les fournisseurs américains auront du mal à atteindre le niveau le plus élevé du nouveau cadre européen, est une loi en vigueur, pas une hypothèse. La concentration du capital et du calcul existe. Il ne s’agit pas de remplacer la souveraineté géographique par la portabilité. Il s’agit de comprendre qu’aucune des deux ne suffit seule. On peut avoir un contrôle territorial sans liberté de sortie, et une portabilité technique sans contrôle juridictionnel. La souveraineté réelle est probablement multidimensionnelle, et le débat européen a passé dix ans à mesurer une seule dimension.

Trois pièces d’une seule chose

Trois histoires très différentes, lues ensemble, dessinent la forme du problème.

La première est Mistral, et c’est la pièce du capital. Avec les trois milliards d’aujourd’hui, les tours annoncés depuis 2023 dépassent cinq milliards et demi d’euros, et Mistral Compute, annoncé avec NVIDIA le 11 juin 2025, transforme la première tranche de cet argent en silicium : 18 000 systèmes Grace Blackwell dans un centre de données de l’Essonne. Un laboratoire européen capable de lever des milliards compte, mais pas pour la raison qu’on entend répéter. Pas parce qu’un passeport français rendrait automatiquement un modèle souverain : un modèle est exactement aussi souverain que le contrat qui le régit et que la capacité du client à s’en passer. Il compte parce qu’il augmente le nombre d’options industriellement plausibles. S’il n’existe qu’un seul fournisseur capable de satisfaire une exigence, nous pouvons formellement choisir de ne pas l’utiliser, mais ce n’est pas un vrai choix si y renoncer signifie renoncer à la capacité. Une alternative ne devient politiquement intéressante que lorsqu’elle devient assez bonne pour être choisie sans transformer le choix en sacrifice symbolique. C’est la fonction du capital. Il ne produit pas la souveraineté directement. Il finance la possibilité qu’une alternative existe.

La deuxième est IRIS², et c’est la pièce de la distribution. La concession de douze ans avec le consortium SpaceRISE, c’est-à-dire SES, Eutelsat et Hispasat, a été signée le 16 décembre 2024, pour un coût alors estimé à 10,6 milliards d’euros, dont 6,5 milliards publics. Le 7 août 2026, l’accord de mise en œuvre a porté la constellation à 348 satellites, 330 en orbite basse et 18 en orbite moyenne, avec des premiers lancements prévus en 2029 après un calendrier qui avait glissé plusieurs fois. Aujourd’hui, rien n’est en orbite et aucune entreprise ne peut acheter un seul mégabit d’IRIS². Une constellation européenne est un actif stratégique, mais elle ne devient une option réelle pour une entreprise que lorsque quelqu’un la transforme en connectivité achetable : un contrat, un SLA, un support, une facture, une intégration au réseau que l’entreprise exploite déjà. C’est l’étape que le débat européen saute le plus souvent. Nous avons une très forte tradition de financement des infrastructures, de la recherche et des standards, et une tradition faible dans le dernier kilomètre commercial, celui qui permet à un CTO de placer cette technologie dans une matrice de décision à côté des autres. La souveraineté qui n’arrive pas jusqu’aux achats reste une capacité potentielle. Elle existe, mais on ne peut pas la choisir.

La troisième est Oracle, et c’est la pièce du contrat, la plus intéressante des trois. Supposons que les alternatives existent et que le client veuille changer. Techniquement, il pourrait. Mais le contrat rend le choix économiquement irrationnel. La politique de licence en environnement cloud d’Oracle, qui date de janvier 2017, établit que sur AWS et Azure deux vCPU comptent pour un processeur et que la table des core factors ne s’applique pas : la même base de données, déplacée du centre de données du client ou d’Oracle Cloud vers un cloud concurrent, peut exiger deux fois plus de licences. Depuis le 23 janvier 2023, Java SE se paie par employé, 15 $ par mois chacun en dessous de mille, et le décompte inclut les prestataires et les consultants, pas les personnes qui utilisent le logiciel. Les politiques de support interdisent de maintenir le support sur un sous-ensemble des licences d’une commande, refacturent au tarif catalogue celles qui restent si l’on en résilie une partie, et font payer le retour 150 % de la dernière annuité. Et depuis juin 2021, Oracle Support Rewards déduit de la facture de support au moins 25 cents pour chaque dollar dépensé sur le cloud d’Oracle : la remise existe tant qu’on reste. Aucune de ces clauses n’interdit de partir. Chacune déplace le calcul pour que rester paraisse toujours la décision prudente. La possibilité technique continue d’exister. La possibilité économique, non. Le 1er septembre 2026, Reuters a écrit que les pratiques de licence d’Oracle sont « sur le radar » de la Commission, qui recueille des informations auprès de tiers ; la Commission elle-même précise qu’il n’existe aucune enquête formelle. Le précédent date de deux mois. Le 9 juillet, la Commission a rendu contraignants pour dix ans les engagements de SAP sur le support de son ERP on-premise : les clients pourront diviser leur parc en parties avec des prestataires et des niveaux de support différents, résilier des licences inutilisées dans des cas définis, et les frais de réintégration facturés à ceux qui reviennent après une période d’absence sont abolis. Aucune de ces clauses non plus n’interdisait de partir. Teresa Ribera a déclaré que la décision « doit servir d’avertissement contre des pratiques aux effets similaires sur les marchés du cloud, vers lesquels les clients se déplacent de plus en plus ».

Et quand le calcul ne suffit pas, arrive la résiliation. Broadcom, après avoir racheté VMware, a mis fin aux licences perpétuelles le 11 décembre 2023 et a tout basculé en abonnement ; le CISPE, l’association des fournisseurs de cloud européens, a documenté des hausses allant jusqu’à douze fois et des résiliations avec quelques semaines de préavis. Le cas le plus instructif est néerlandais. Rijkswaterstaat, l’agence des infrastructures, détenait des licences perpétuelles ; l’offre en abonnement aurait augmenté son coût de 85 %, et entre-temps l’agence ne pouvait pas migrer à temps. Le 27 juin 2025, le tribunal de La Haye a ordonné à Broadcom de poursuivre le support pendant deux ans au maximum, à un prix fixé par le juge et sous astreinte de 250 000 € par jour, avec une motivation qui vaut un traité : le fournisseur manque à son devoir de diligence s’il ne met pas le client en mesure de sortir. Un juge a dû rouvrir par jugement le chemin entre un choix et le suivant.

C’est là que l’intérêt européen pour les licences, le changement de fournisseur cloud, le Data Act, le DMA et la concurrence commence à ressembler à une seule politique plutôt qu’à quatre. Le Data Act, applicable depuis le 12 septembre 2025, consacre un chapitre entier au changement de fournisseur de services de traitement de données : les articles 23 à 31 imposent de lever les obstacles techniques, contractuels et organisationnels au changement, fixent un préavis maximal de deux mois et une période de transition de trente jours que le client peut prolonger une fois, et l’article 29 établit qu’à partir du 12 janvier 2027 les frais de changement, egress compris, ne peuvent plus être facturés, après trois ans pendant lesquels ils ne peuvent couvrir que les coûts directs. Google a supprimé les frais d’egress pour ceux qui partent le 11 janvier 2024, AWS le 5 mars, en citant explicitement le Data Act, Microsoft le 13 mars ; Oracle non, a relevé l’autorité britannique de la concurrence. Cette même CMA, en clôturant le 31 juillet 2025 son enquête sur le marché du cloud, a qualifié les frais d’egress de « barrière commerciale clé » au changement et a conclu que les pratiques de licence de Microsoft réduisent la concurrence entre clouds ; le 31 mars 2026, elle a accepté d’AWS et de Microsoft l’engagement de rendre gratuit l’egress de sortie pendant au moins 180 jours. Et le 25 juin 2026, la Commission a notifié à Amazon et Microsoft sa position préliminaire selon laquelle AWS et Azure doivent être désignés contrôleurs d’accès au titre du DMA bien qu’ils n’atteignent pas les seuils quantitatifs, parce qu’ils « semblent bénéficier d’effets de verrouillage et de coûts de changement élevés » et parce que leur portefeuille d’outils d’IA « est devenu un facteur décisif dans les achats de cloud ». Construire des alternatives ne suffit pas. Il faut que le chemin qui y mène reste praticable, et ce chemin est régi par les contrats.

Une définition plus utile du verrouillage

Nous disons d’ordinaire : je suis verrouillé parce qu’il est difficile de partir. C’est vrai et peu précis. Une définition plus utile pourrait être celle-ci : vous êtes verrouillé quand le coût d’exercer une alternative est assez élevé pour rendre votre liberté de choix essentiellement théorique.

Le coût peut être technique, économique, cognitif, contractuel, organisationnel. C’est en général la somme des cinq, et celui qui pèse le plus est rarement celui qu’on voit au contrat. Cette définition explique pourquoi le verrouillage ne coïncide pas avec le logiciel propriétaire. Un système open source peut créer un verrouillage opérationnel énorme, si plus personne dans l’entreprise ne sait le faire tourner hors de la configuration dans laquelle il a grandi. Un SaaS propriétaire avec d’excellentes API, un export complet et des formats standard peut en produire relativement peu. La licence dit ce que j’ai le droit de faire. Le coût de sortie dit ce que je suis capable de faire.

La souveraineté est une propriété dynamique

C’est peut-être le passage conceptuel le plus important, et le plus inconfortable pour qui fait de l’architecture. Nous ne pouvons pas établir une fois pour toutes qu’une architecture est souveraine, parce que la souveraineté change dans le temps pendant que l’architecture reste immobile.

Un fournisseur peut changer ses prix, et qui utilise VMware le sait depuis décembre 2023. Un modèle peut être retiré : OpenAI a retiré GPT-4o de ChatGPT le 13 février 2026, Anthropic a retiré Claude 3 Opus le 5 janvier 2026, Google a éteint Gemini 1.5 Pro le 29 septembre 2025, et le 1er septembre GitHub a retiré six modèles de Copilot au titre du cycle de vie ordinaire, comme je l’ai raconté dans La fonction ne s’exporte pas. Une licence peut changer : HashiCorp a placé Terraform sous Business Source License le 10 août 2023, Redis a abandonné la licence BSD le 20 mars 2024 avant d’ajouter l’AGPL le 1er mai 2025, quand le fork Valkey lui avait déjà pris une partie de ses utilisateurs. Un projet peut perdre ses mainteneurs, ou pire, en gagner un qu’il n’aurait pas dû : la porte dérobée de xz, CVE-2024-3094, découverte par Andres Freund le 29 mars 2024, avait été introduite par un co-mainteneur qui avait gagné en un an environ la confiance d’un mainteneur épuisé. Une société peut être rachetée : IBM a finalisé l’acquisition de HashiCorp le 27 février 2025. Un accès peut être coupé par une clause entre tiers, comme c’est arrivé à Cursor avec les modèles d’OpenAI. Une nouvelle réglementation peut modifier le coût relatif des alternatives, et le Data Act le fait en ce moment même.

La question n’est donc pas seulement de savoir combien de contrôle nous détenons aujourd’hui. C’est combien d’options réalistes nous préservons pour demain. La première se photographie dans un audit. La seconde ne se mesure qu’en essayant.

L’optionalité comme propriété architecturale

Ici le raisonnement devient technique, et c’est le point où il cesse d’être une affaire de colloques.

L’architecture ne devrait pas chercher à éliminer toutes les dépendances. Ce serait impossible, et probablement inefficace. Elle devrait décider quelles dépendances méritent de rester réversibles. Un service commodity peut être fortement couplé, si le remplacer coûte peu. Une fonction stratégique demande une attention différente. Pour celles-là, et seulement celles-là, on paie les choses qui achètent de l’optionalité future : des formats ouverts pour les données qui comptent, des protocoles standard là où ils existent, des exports éprouvés et pas seulement promis, une couche d’abstraction sur le modèle là où elle sert et pas partout, des évaluations indépendantes du fournisseur, une infrastructure décrite comme du code et donc reproductible ailleurs, des sauvegardes restaurées hors du fournisseur au moins une fois, une documentation qui survit à la personne qui l’a écrite, assez de compétences internes pour ne pas devoir demander la permission, une seconde source déjà qualifiée pour les composants qui ne peuvent pas s’arrêter. Non parce que « vendor-neutral » serait toujours mieux. Parce que ces choses achètent le droit de changer d’avis.

Et elles coûtent. Il faut le dire sans détour, parce que le discours sur la souveraineté tend à feindre le contraire. Une architecture parfaitement portable coûte. Maintenir deux fournisseurs coûte. Renoncer à la meilleure fonctionnalité propriétaire coûte. Tester un fallback coûte. Conserver des compétences internes coûte. Exécuter périodiquement un test de sortie coûte. Exactement comme coûtent la sauvegarde, la reprise après sinistre, la redondance, la cyberassurance. Ce sont des inefficacités délibérées qui achètent de la résilience, et personne ne les appelle du gaspillage. Nous ne devons donc pas maximiser la souveraineté. Nous devons décider combien nous sommes prêts à payer pour la conserver, dépendance par dépendance.

Le secteur financier, qui arrive d’ordinaire en premier parce qu’il a déjà payé la note de ses crises, l’a déjà écrit dans une norme. DORA, applicable depuis le 17 janvier 2025, impose à l’article 28, paragraphe 8, aux entités financières des stratégies de sortie pour les services TIC qui soutiennent des fonctions critiques ou importantes, avec des plans « complets, documentés et suffisamment testés », et les orientations de l’ABE sur l’externalisation le demandaient déjà depuis 2019. Le texte ne dit pas « utilisez des fournisseurs européens ». Il dit : prouvez que vous pouvez sortir.

Une prime d’option

À ce stade, la discussion cesse d’être idéologique et devient une décision de comité de direction, de celles qu’on prend avec un tableur et non avec un drapeau.

Pour chaque dépendance importante, on peut poser quatre questions. Quelle valeur nous apporte-t-elle. Quelle est la probabilité de devoir la remplacer dans l’horizon qui nous intéresse. Combien coûterait son remplacement. Combien coûte, aujourd’hui, le maintien d’une alternative praticable. C’est presque une évaluation financière ordinaire, et la finance a déjà un nom pour l’objet : appelons-le prime d’option. Nous payons une petite somme aujourd’hui pour conserver le droit, et non l’obligation, de changer de décision demain.

La métaphore est plus précise qu’il n’y paraît. Stewart Myers l’a introduite en 1977, dans un article sur la dette des entreprises, en appelant « real options » les opportunités d’investissement futures qu’une entreprise possède et peut exercer ou laisser expirer ; Dixit et Pindyck en ont fait un livre en 1994, Investment under Uncertainty, et la leçon centrale est qu’en situation d’incertitude la flexibilité a un prix calculable, et que celui qui l’ignore sous-estime systématiquement le coût de s’engager. Une option ne vous oblige à rien. Elle vous garantit le droit de le faire à des conditions connues. Une bonne architecture souveraine fonctionne de la même manière. Elle ne signifie pas « nous devons quitter AWS », elle signifie « nous pouvons le faire si cela devient nécessaire, et nous savons en combien de temps et à quel prix ». Elle ne signifie pas « nous devons n’utiliser que des modèles européens », elle signifie « nous pouvons remplacer le modèle actuel si notre équilibre entre qualité, prix, risque et juridiction change ». Elle ne signifie pas « nous devons tout héberger nous-mêmes », elle signifie « nous possédons assez de données, de spécifications et de compétences pour ne pas dépendre complètement de l’hébergeur actuel ». La souveraineté n’est pas l’exercice continu de l’indépendance. C’est la possession du droit praticable de l’exercer.

Deux entreprises

Le cloud rend la différence visible à l’œil nu.

La première entreprise utilise un cloud européen. Tout est profondément intégré aux services propriétaires du fournisseur. Personne n’a jamais tenté une migration. L’infrastructure n’est pas reproductible ailleurs, parce qu’elle a été construite dans la console, à la main, en cinq ans. Les sauvegardes existent, mais elles n’ont jamais été restaurées hors du fournisseur. Le contrat contient une clause d’exportation des données que personne n’a jamais lue jusqu’au bout.

La seconde utilise AWS. Les données principales vivent dans des formats ouverts. L’infrastructure est déclarative et versionnée. Les dépendances propriétaires sont connues et comptées : il y en a sept, elles tiennent sur une page, et pour chacune il est écrit ce qui la remplacerait. Il existe un plan de sortie. Deux ou trois workloads critiques sont périodiquement exécutés ailleurs, pour voir ce qui casse.

Laquelle des deux est la plus souveraine ? La réponse n’est pas évidente, et c’est exactement le point. La première a résolu la dimension de la juridiction et laissé ouverte celle de la sortie. La seconde a fait l’inverse. Si les sanctions, l’injonction d’un tribunal étranger ou une crise diplomatique sont le risque qui tient le conseil d’administration éveillé, la première a raison. Si le risque est un tarif qui double, un produit retiré, une acquisition qui change les règles, la seconde a raison. Une architecture sérieuse devrait aujourd’hui savoir répondre aux deux, et la plupart ne répondent à aucun : elles utilisent le fournisseur que le marché leur a donné et appellent souveraineté la région du centre de données.

Il existe un exemple connu de sortie menée jusqu’au bout, et il est utile précisément parce qu’il n’a rien à voir avec l’Europe. 37signals, l’entreprise derrière Basecamp et HEY, a annoncé son départ d’AWS le 19 octobre 2022, a acheté pour environ 700 000 $ de serveurs Dell, a déplacé toutes ses applications sur son propre matériel avant juin 2023 et a vu sa facture cloud passer de 3,2 à 1,3 million de dollars par an en 2024 ; le dernier morceau, une dizaine de pétaoctets sur S3, est sorti avant l’échéance du contrat, le 30 juin 2025, vers un stockage en propre. David Heinemeier Hansson estime l’économie à plus de dix millions sur cinq ans, et ce sont ses chiffres, non vérifiés par des tiers. Ce n’est pas un modèle à copier : peu d’entreprises ont ce profil de charge, et presque aucune n’a un fondateur disposé à publier les chiffres. Mais cela démontre une chose que le débat européen tient pour acquise sans jamais la vérifier : que la sortie d’un hyperscaler est un projet avec un début, une fin et un coût, pas une condition métaphysique.

L’IA rend tout plus difficile

Avec les modèles de fondation, le problème dépasse les données et l’infrastructure, et je l’ai suivi dans deux essais que celui-ci clôt comme un triptyque. Dans Le verrouillage ne sera plus dans les données, je soutenais que le prochain verrouillage se trouve dans l’état que le système accumule en travaillant pour nous. Dans La fonction ne s’exporte pas, je concédais que même cet état puisse être portable, et je montrais que le processus peut quand même se dégrader, parce que le modèle n’est pas un interprète neutre du processus mais l’une de ses parties.

Nous pouvons posséder les prompts, les spécifications, les documents, la mémoire, les outils, les évaluations, et dépendre malgré tout d’une capacité cognitive particulière. Un modèle interprète mieux une spécification. Un autre exige plus de supervision. L’un coûte cinq fois moins. L’un peut tourner sur site. L’un est retiré. L’un change sa politique d’usage. La souveraineté sur l’IA exige donc une optionalité supplémentaire, que j’appellerais portabilité de la fonction : pouvoir changer d’endpoint ne suffit pas, il faut savoir si le processus continue de fonctionner une fois qu’on l’a fait.

C’est pourquoi les évaluations sont des instruments de souveraineté, et pas seulement de qualité. Si je possède une batterie de tâches représentatives du travail réel et des critères d’acceptation indépendants du modèle, je peux l’exécuter contre GPT, contre Claude, contre Mistral, contre un modèle à poids ouverts qui tourne sur une machine que je contrôle. Je peux mesurer la perte. Je peux décider si elle est acceptable. J’ai une option. Si je sais seulement que « ça marche bien avec Claude », je ne possède pas la définition de la capacité : je dépends de celui qui l’exécute. La capacité de mesurer l’alternative fait partie de la capacité de la choisir. Et c’est là que le fait que Mistral Large 3 et les Ministral 3 soient sortis sous Apache 2.0 le 2 décembre 2025, puis Mistral Small 4 en mars 2026, compte moins comme drapeau que comme plan B exécutable : des poids qu’on peut télécharger aujourd’hui et faire tourner sur du matériel qu’on contrôle, en mesurant sur les mêmes tâches ce que l’on perd.

L’open source aussi est un droit, pas une capacité

L’open source est souvent employé comme synonyme de souveraineté, et la Stratégie européenne pour l’open source présentée le 3 juin reprend l’équation. Mais une licence permissive garantit avant tout un droit. Elle ne garantit pas la capacité de l’exercer.

On peut avoir le droit de forker un projet et ne posséder ni les mainteneurs, ni les compétences, ni l’infrastructure de release, ni la communauté, ni le budget. Formellement, on est libre. Opérationnellement, non. OpenTofu et Valkey existent parce que la Linux Foundation et des entreprises ayant des ingénieurs à affecter se tenaient derrière eux, et dans le cas de Valkey ces entreprises s’appellent AWS, Google et Oracle : le fork a été payé par ceux qui avaient le plus à perdre. La grande majorité des projets qui changent de licence ou perdent leur mainteneur ne produisent pas un fork viable. Ils produisent une exposition. La Stratégie elle-même le reconnaît quand elle promet d’investir dans « la maintenance à long terme et la sécurité de l’infrastructure numérique open source européenne » : c’est l’aveu que le droit existe déjà et que la capacité, non. Une fois de plus, liberté juridique et optionalité réelle ne coïncident pas.

Une politique de l’optionalité

Vus ensemble, les instruments européens ressemblent à des initiatives séparées, nées dans des directions générales différentes avec des vocabulaires différents. Le Data Act et le DMA. Le cadre de souveraineté du Cloud and AI Development Act. L’AI Act. Les AI Factories d’EuroHPC, au nombre de dix-neuf, et les AI Gigafactories, jusqu’à sept, avec un appel ouvert du 30 juillet au 12 novembre. Le capital privé dans Mistral. STACKIT et OVHcloud, qui existent parce que quelqu’un achète. IRIS². La Stratégie pour l’open source. Et les achats publics : le 17 avril 2026, la Commission a attribué son premier marché de cloud souverain, 180 millions sur six ans, à quatre groupements européens, dont STACKIT, Scaleway, OVHcloud avec Post Telecom et CleverCloud, et Proximus avec S3NS, Clarence et Mistral, en utilisant son propre Cloud Sovereignty Framework à cinq niveaux, de SEAL-0 à SEAL-4, avec SEAL-2 comme minimum.

Il y a dans cet appel d’offres un détail qui vaut plus que bien des discours. Le Cloud Sovereignty Framework avec lequel la Commission a noté les offres mesure huit objectifs. Le quatrième, la souveraineté opérationnelle, a pour premier facteur « la facilité de migrer les workloads ou de s’intégrer à des solutions alternatives sous contrôle européen sans verrouillage fournisseur », et pèse 15 % de la note ; la souveraineté juridique et juridictionnelle pèse 10 %, avec la précision que sur ce front la procédure contient déjà d’autres garanties. Ceux qui ont écrit cette grille ont mis le coût de sortie parmi les critères d’attribution. Ils ne l’appellent pas optionalité, mais ils le comptent.

Tous ces instruments peuvent être lus à travers une seule question : comment augmentons-nous le nombre d’alternatives qu’un acteur européen peut réalistement exercer ?

Le capital construit les alternatives. L’infrastructure les rend atteignables. Les standards réduisent le coût du changement. Le droit empêche certains acteurs en place de le relever artificiellement. Les achats publics créent la demande qui maintient les alternatives en vie après le communiqué de presse. C’est une politique de l’optionalité, même si aucun document ne l’appelle ainsi.

Et c’est peut-être une définition européenne de la souveraineté meilleure que l’autarcie. L’Europe ne produira pas nécessairement chaque puce, chaque modèle, chaque base de données, chaque service cloud. Et elle ne devrait probablement pas essayer : le communiqué du 3 juin le dit à sa manière quand il promet de « garder la majeure partie de notre marché ouverte aux partenaires partageant les mêmes valeurs ». La question sérieuse est de savoir si elle peut construire un système économique dans lequel aucune dépendance critique ne devienne irréversible. C’est un objectif bien plus réaliste, et bien plus cohérent avec un continent intégré aux chaînes d’approvisionnement mondiales, qui n’a aucun intérêt à en sortir.

Un budget de sortie

Pour une petite société de logiciels, cette philosophie devient concrète très vite, parce que nous n’avons pas le luxe d’en discuter dans l’abstrait. Quand nous choisissons une dépendance importante, chez Oltrematica nous posons les questions que tout le monde pose : combien ça coûte aujourd’hui, à quel point c’est bon, à quelle vitesse nous pouvons le mettre en production. Nous en ajoutons une : combien coûte le fait de changer d’avis. Et surtout : faisons-nous aujourd’hui quelque chose qui rend ce coût inutilement plus élevé demain ?

Parfois la réponse est oui, et cela en vaut la peine. Parfaitement légitime. La souveraineté ne signifie pas éviter le verrouillage à tout prix. Elle signifie l’assumer consciemment, avec une date en face. Nous réécrivons un produit de Python vers Laravel, et à mi-parcours je peux dire ce que coûte une sortie non planifiée : des mois, pas des semaines, et une réingénierie qui ne figurait dans aucun devis quand le premier choix a été fait.

Une formule pratique que j’essaie d’utiliser est un budget maximal de sortie pour chaque composant stratégique, sans la fausse précision des euros. Faible : remplaçable en quelques jours, avec une procédure connue. Moyen : des semaines, une migration déjà faite au moins une fois, peut-être en staging. Élevé : des mois, une réingénierie nécessaire, des compétences à acheter. Critique : aucune alternative praticable à ce jour. Puis une seule question, à poser en réunion avec les personnes qui signent : savons-nous quels composants sont classés Critique, et avons-nous décidé nous-mêmes qu’ils le soient ? C’est déjà une forme de gouvernance bien plus utile que « évitons le verrouillage fournisseur », une phrase que tout le monde approuve et que personne ne peut violer.

Le plus intéressant est qu’à ce stade souveraineté et résilience convergent. La continuité d’activité, celle d’ISO 22301, demande : que se passe-t-il si cette ressource disparaît ? La souveraineté demande : pouvons-nous choisir de ne plus dépendre de cette ressource ? C’est presque la même question vue de deux directions, l’une partant de l’incident et l’autre de la volonté. L’architecture nécessaire pour répondre est souvent la même, et qui a déjà un plan de continuité a fait la moitié du travail sans l’appeler souveraineté.

Dire non après avoir dit oui

Avant le choix, nous avons presque toujours la liberté. Nous pouvons comparer les fournisseurs, lancer un appel d’offres, négocier, choisir. C’est le moment où tout le monde se sent souverain, et c’est en effet le moment où le mot est le plus prononcé.

Le problème intéressant commence après. Après cinq ans de données, d’intégrations, de compétences, de workflows, de contrats, d’habitudes. C’est là que nous découvrons si la liberté initiale était réelle ou n’était que la liberté d’entrer. La souveraineté ne se mesure pas au moment où nous choisissons un fournisseur. Elle se mesure cinq ans plus tard, quand nous essayons d’en choisir un autre.

Pendant des années, nous avons cherché la souveraineté numérique dans les endroits les plus visibles. Dans le passeport du fournisseur. Dans l’emplacement du centre de données. Dans la licence du logiciel. Dans le pays où le modèle est entraîné. Ce sont des propriétés importantes, et la consultation qui se clôt le 15 septembre fait bien de les interroger. Mais la question décisive est peut-être moins identitaire et plus concrète. Que se passe-t-il si nous changeons d’avis demain ? Pouvons-nous emporter les données ? Pouvons-nous reconstruire le service ? Pouvons-nous changer de modèle ? Pouvons-nous réduire le contrat ? Pouvons-nous trouver les compétences ? Pouvons-nous continuer à travailler pendant la transition ? Savons-nous combien nous perdrons ?

Si la réponse est oui, nous possédons quelque chose de plus important que l’indépendance : nous possédons un choix. Si la réponse est non, le fait que le fournisseur soit européen, américain, open source ou propriétaire change certaines catégories de risque, mais n’élimine pas la dépendance.

Je ne crois pas que la souveraineté soit l’absence de dépendances. Les économies modernes ne fonctionnent pas ainsi, et la nôtre moins que d’autres. C’est la capacité d’empêcher qu’une dépendance devienne un destin. Les trois milliards entrés aujourd’hui chez Mistral créent une alternative. IRIS² construit une autre infrastructure. Les règles européennes sur le changement de fournisseur cherchent à garder ouvert le chemin entre un choix et le suivant. Ce sont des pièces différentes de la même architecture politique, parce qu’une alternative qui n’existe pas ne peut pas être choisie, qu’une alternative qu’on ne peut pas atteindre ne sert à rien, et qu’une alternative qui coûte trop cher à exercer n’existe que sur le papier.

La souveraineté numérique, au fond, pourrait être simplement la capacité économiquement crédible de changer de décision. Cette définition a un avantage sur les autres : elle se mesure. Non en demandant à quel point notre stack est européenne. En demandant à quel point nous sommes encore libres après l’avoir choisie.

Une alternative qui coûte trop cher à exercer n’est pas une alternative. C’est une ligne dans un document de stratégie.

L'auteur

Andrea MargiovanniSouveraineté

J'aide les organismes publics et les organisations privées à lire leurs propres dépendances d'infrastructure. La souveraineté numérique est un treillis, pas un drapeau ; elle se mesure davantage sur les contrats que sur les discours.

Voir le parcours →