Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique
Un lourd rapport a été publié ce 15 juillet, suite aux travaux de la commission lancée en février pour analyser les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Cette commission, présidée par Philippe Latombe avec Cyrielle Chatelain comme rapporteure, pointe six grandes catégories […].
Un rapport de 453 pages a été publié le 15 juillet 2024 par une commission de l'Assemblée nationale française. Cette commission, présidée par Philippe Latombe et dirigée par Cyrielle Chatelain, a analysé les dépendances et vulnérabilités du secteur numérique en France. Elle a travaillé pendant cinq mois, auditionnant 112 personnes et réunissant 26 députés de tous les groupes politiques. Le rapport identifie six grandes catégories de failles et propose des recommandations, dont certaines sont qualifiées de radicales. L'objectif est de renforcer l'indépendance numérique de la France face aux risques systémiques.
La commission a classé les vulnérabilités en six catégories. Premièrement, les failles démocratiques liées aux ingérences et à la désinformation, notamment via les algorithmes des plateformes privées comme X (ex-Twitter), dont les travaux du CNRS montrent qu'ils peuvent influencer jusqu'à 15 % des électeurs indépendants. Deuxièmement, les failles techniques dans les administrations et entreprises, illustrées par des fuites de données récentes. Troisièmement, la gestion des données, confrontée à des enjeux de légalité (RGPD), d'extraterritorialité du droit (notamment américain) et de captation des données. Quatrièmement, la primauté du profit sur les libertés individuelles, entraînant des violations de la vie privée et des contenus addictifs. Cinquièmement, le verrouillage des utilisateurs par les fournisseurs de logiciels. Enfin, les vulnérabilités des infrastructures et composants clés.
Le rapport révèle que sur 466 applications utilisées par les administrations françaises, deux tiers ont été développées spécifiquement pour leurs besoins, dont 57 % par des prestataires externes. Parmi ces applications, 69 % des plus critiques (catégorie 1 : atteinte à l'ordre public, sécurité, vie des personnes) et 83 % de la catégorie 2 (interruption de missions essentielles) sont développées par des fournisseurs français. Les États-Unis arrivent en deuxième position avec respectivement 7 et 12 applications. Ces chiffres soulignent une dépendance partielle aux prestataires étrangers, malgré une majorité de solutions locales pour les applications les plus sensibles.
Les vulnérabilités identifiées proviennent de multiples sources. Les fournisseurs américains de cloud (stockage et traitement de données à distance) et les systèmes d'exploitation étrangers (comme Windows ou macOS) sont pointés du doigt. Les composants électroniques, souvent fabriqués en Asie, sont également une source de risque. Enfin, les infrastructures internet mondiales, contrôlées par des acteurs internationaux, exposent la France à des dépendances structurelles. Philippe Latombe, président de la commission, critique le manque d'attention politique antérieure à ces enjeux, comparant la situation à une multitude de chevaux de Troie plutôt qu'à un seul.
Philippe Latombe, également président d'une commission sur la résilience des infrastructures critiques, exprime un regret dans l'avant-propos du rapport. Il souligne avoir été peu suivi et comparé à Cassandre, personnage mythologique qui alertait sans être écouté. Il dénonce une prise de conscience tardive des risques pour l'indépendance numérique de la France, notamment avec l'ère MAGA (Make America Great Again), symbolisant une politique américaine plus agressive sur le plan numérique. Le rapport s'inscrit dans la continuité d'une mission d'information menée en 2021, mais reste critique sur l'absence de réactions politiques antérieures.
La commission a utilisé une méthodologie basée sur des questionnaires envoyés à toutes les directions numériques ministérielles, complétés par des auditions des directeurs des systèmes d'information. Le périmètre couvre deux axes : les administrations publiques et les entreprises d'intérêt vital, jugées prioritaires. Le rapport précise ne pas avoir traité en détail la *cybersécurité* (protection contre les attaques informatiques) ni les dépendances matérielles (composants physiques), ces sujets faisant l'objet de travaux distincts. L'objectif était d'analyser les *dépendances systémiques*, c'est-à-dire les risques liés à la structure même du numérique en France.
