10884. — 11 novembre 2025. — M. Arnaud Le Gall interroge Mme la ministre déléguée auprès du ministre de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l’intelligence artificielle et du numérique, sur le recours de l’État à des entreprises étrangères, en particulier aux GAMAM (Google, Amazon, Meta, Apple, Microsoft), pour leurs services de stockage numérique. Ces entreprises disposent d’un oligopole en matière d’intelligence artificielle et de stockage des données numériques en Europe. En France, des administrations clés telles que l’éducation nationale ou l’armée ont recours aux services de Microsoft et d’Amazon. La centralité des GAMAM sur le territoire français tend à s’accroître : en 2024, Microsoft a annoncé un plan d’investissement 4 milliards d’euros, salué par le Président de la République. Au niveau de l’Union européenne, le coût du recours aux services de stockage de données numériques des GAMAM s’élève à 260 milliards d’euros chaque année. La dépendance aux services des GAMAM est non seulement coûteuse, mais elle pose aussi la question de la maîtrise des données : Microsoft a confirmé cet été qu’elle remettrait les données de ses utilisateurs aux autorités états-uniennes si cela lui était réclamé, en respect du Cloud Act états-unien. Il s’agit d’une brèche majeure dans la souveraineté de l’État sur ses données numériques. À rebours d’un projet de système de stockage garantissant l’indépendance des États européens, la Commission européenne a proposé un data privacy framework, cadre relatif à la sécurité des données européennes, actant la renonciation au refus du transfert quasi automatique des données vers les États-Unis. Les seules garanties apparentes pour les utilisateurs européens reposent sur un décret flou concédé par le gouvernement Biden stipulant que la collecte de données devrait être nécessaire et proportionnée, ainsi que sur l’engagement des GAMAM à respecter les obligations de protection de données. Mais, face aux attaques incessantes des GAMAM et de l’administration étas-unienne contre les règles européennes, il apparaît clairement que l’intention est bien d’appliquer au maximum les règles états-uniennes. Lors de son audition par le Sénat en juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a répondu qu’il ne pouvait « pas garantir » que les données des citoyennes et citoyens français stockées dans des centres de données de Microsoft basés en France ne seraient jamais transmises au gouvernement étatsunien sans l’accord de Paris. Qu’en est-il des données de citoyens et citoyennes stockés par Microsoft pour le compte d’administrations françaises ? Il est de toute évidence indispensable de bifurquer vers des solutions de cloud national pour le stockage des données de la population française. M. le député souhaite ainsi savoir pourquoi des moyens n’ont pas encore été développés afin de généraliser dans les administrations le recours à des systèmes de stockage de données labellisés SecNumCloud par l’agence nationale de la sécurité des systèmes d’informations. Dans l’attente de l’utilisation de systèmes protégeant la souveraineté de la France sur ses données numériques, il lui demande quelles sont les garanties mises en place pour éviter la fuite de données vers les États-Unis. Cette question s’inscrit dans la continuité du travail engagé depuis 2021 avec la stratégie nationale pour le cloud, qui vise à saisir les opportunités offertes par les évolutions technologiques tout en répondant aux enjeux de sécurité posés par le recours à des services d’informatique en nuage, en particulier ceux qui concernent la protection des données les plus sensibles, des administrations, des citoyens et des entreprises. Cette stratégie repose notamment sur les principes de la circulaire dite "cloud au centre" relative à la doctrine d’utilisation de l’informatique en nuage par l’État du 5 juillet 2021[1] du Premier Ministre, et sur la qualification SecNumCloud délivrée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui garantit un niveau de protection élevé des services cloud, y compris contre les accès non-autorisés des États tiers à l’Union européenne (UE). De plus, la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN) reprend et renforce ces principes, afin d’assurer une protection adéquate des données particulièrement sensibles des administrations de l’État, ses opérateurs ou certains groupements d’intérêt public, tels que la Plateforme de données de santé (dite Health Data Hub). Ainsi, toute offre d’informatique en nuage à laquelle ces différents services de l’État choisissent de recourir en cas d’externalisation de l’hébergement et du traitement de leurs données les plus sensibles doit répondre aux critères de la certification SecNumCloud, garantissant notamment la protection des données contre tout accès par des autorités publiques d’États tiers non autorisé par le droit de l’UE ou de l’un de ses États membres. A l’inverse, en-dehors de ces cas, il n’y a pas d’impératif à recourir au cloud de confiance. La France continue à soutenir le développement d’une offre européenne diversifiée et concurrentielle de cloud, répondant aux besoins d’innovation et de sécurité des administrations et des entreprises, notamment au sein de la stratégie cloud de France 2030. De fait, les chiffres publiés par la DINUM montrent que les administrations françaises recourrent de plus en plus au cloud, et font appel massivement à des fournisseurs de service cloud européens - https://www.numerique.gouv.fr/offre-accompagnement/cloud-administrations/ladoption-du-cloud/https://www.numerique.gouv.fr/offre-accompagnement/cloud-administrations/ladoption-du-cloud/. Cette stratégie est également défendue par le Gouvernement au niveau européen, notamment dans le cadre des négociations sur le schéma de la certification de cybersécurité des services cloud (EUCS) visant à mettre en place un dispositif fiable, complet et transparent de protection des données sensibles européennes. Le Sommet sur la Souveraineté numérique du 18 novembre 2025 illustre cette ambition. La France et l’Allemagne y ont conjointement décidé de renforcer à l’échelle européenne la protection des données les plus sensibles contre les menaces de toutes natures, et notamment les lois extraterritoriales extracommunautaires. [1] actualisée par la circulaire du 31 mai 2023