Dans cette note doctrinale, le Cigref, réseau des grandes entreprises et administrations publiques françaises, appelle à un « sursaut de rationalité » face à la confusion croissante entre deux notions distinctes : la souveraineté numérique et la résilience numérique.
Depuis plusieurs années, et de façon accentuée depuis le retour de Donald Trump à la Maison-Blanche, le thème de la souveraineté numérique sature le débat public dans un contexte de polycrise permanente. Si cette prise de conscience est bienvenue, elle s’est accompagnée d’une dénaturation du concept. Les fournisseurs technologiques emploient le mot « souverain » comme un argument marketing, en faisant un synonyme flou de « fabriqué en Europe », « opéré sur le territoire européen » ou « non soumis à des législations extraterritoriales ». Or, l’imprécision des mots conduit à l’inefficacité de l’action.
La confusion provient en partie de l’importation littérale du terme anglo-saxon sovereignty, qui renvoie pragmatiquement à des questions de juridiction ou de contrôle opérationnel. La tradition juridique continentale, héritée de Bodin et de Rousseau, donne au contraire à la souveraineté une portée bien plus profonde : un pouvoir suprême, perpétuel et indivisible, reconnu exclusivement à l’État.
La souveraineté : prérogative exclusive de l’État
L’article 3 de la Constitution de 1958 est sans ambiguïté : la souveraineté nationale appartient au peuple, et aucune section du peuple ni aucun individu ne peut s’en attribuer l’exercice. Une entreprise ne peut donc exercer de souveraineté, pas plus qu’un centre de données ou un algorithme – objets techniques dépourvus de volonté politique et de légitimité démocratique. Ils peuvent servir d’instruments à la souveraineté, mais ne sont jamais souverains par nature. Cela n’enlève rien au caractère stratégique des grandes infrastructures privées : c’est précisément leur concentration de dépendances critiques qui impose à la puissance publique d’assumer ses responsabilités.
La réalité économique contredit l’idée d’une souveraineté des acteurs privés. Un champion français réalisant la moitié de son chiffre d’affaires aux États-Unis ne peut renoncer à ses marchés au nom d’un dogme de pureté continentale. Inversement, la nationalité européenne d’un fournisseur ne protège en rien contre les pratiques abusives ou le verrouillage technologique : le préjudice est identique, que l’abus vienne de la Silicon Valley ou du cœur de l’Europe. Comme le rappelle le Conseil d’État (2024), la souveraineté est la « compétence de ses compétences » : l’État ne l’achète pas, il l’exerce.
Le mandat des entreprises : la résilience
Le véritable mandat de l’entreprise est la résilience numérique : la capacité à garantir la continuité de ses services critiques face à toute perturbation (cyberattaque, loi extraterritoriale, défaillance de fournisseur, rupture géopolitique). Elle engage directions générales et conseils d’administration. Le Cigref recommande d’adopter la définition du règlement européen DORA pour toutes les organisations.
Confondre ces notions opère un déplacement dangereux des responsabilités : les entreprises ne peuvent compenser seules des vulnérabilités systémiques que l’État renoncerait à arbitrer. La formule de synthèse résume la doctrine : la souveraineté numérique est une compétence qui s’exerce ; la résilience numérique est une qualité qui se construit et se mesure.
—
Source : CIGREF
Aller au contenu PDF