La souveraineté numérique européenne à l'épreuve des chaînes d'approvisionnement : semi-conducteurs, cloud souverain et encadrement de la shadow AI
La Cour des comptes a publié le 20 avril 2026 un rapport critique sur les aides publiques à la filière française des semi-conducteurs, dont le montant programmé entre 2018 et 2025 s'élève à 8,7 milliards d'euros (dont 5 milliards effectivement versés). Ce contrôle intervient alors que la souveraineté technologique est devenue un axe stratégique majeur en Europe, notamment avec le European Chips Act adopté par l'UE en 2023 et doté d'une ambition cumulée de 43 milliards d'euros d'investissements publics et privés pour doubler la part européenne dans la production mondiale d'ici 2030.
Parallèlement, une fuite de données majeure chez Vercel, hébergeur cloud de nombreuses applications web et gardien du framework Next.js, a été révélée le 19 avril 2026. L'incident trouve son origine dans la compromission d'une application d'IA tierce, Context.ai, dont l'application OAuth Google Workspace a été détournée à la suite d'une infection par le logiciel malveillant Lumma Stealer en février 2026, via le téléchargement de scripts de triche pour un jeu vidéo par un employé de Context.ai. Un salarié de Vercel avait auparavant accordé à cette application tierce un accès « Allow All » à son espace Google Drive professionnel, permettant aux attaquants de pivoter jusqu'aux environnements internes de Vercel et d'accéder à certaines variables d'environnement non marquées comme « sensibles ». Les données dérobées sont proposées à la vente pour 2 millions de dollars sur le forum BreachForums, et la compromission pourrait toucher « des centaines d'utilisateurs dans de nombreuses organisations ». Enfin, Red Hat et Google ont annoncé en avril 2026 une offre conjointe de cloud souverain dédiée aux secteurs réglementés, pensée pour concilier conformité au RGPD et adoption de l'IA, dans le sillage des offres « Bleu » (Microsoft-Orange-Capgemini) et « S3NS » (Google-Thales).
Le cadre juridique européen de la souveraineté numérique
La notion de souveraineté numérique a progressivement été consacrée comme objectif stratégique de l'Union européenne, sans toutefois trouver de fondement textuel explicite dans les traités. Elle s'articule autour de plusieurs règlements sectoriels adoptés depuis 2016. Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (RGPD) en constitue la pierre angulaire, en imposant notamment aux articles 44 à 49 un encadrement strict des transferts de données vers les pays tiers.
À compter de 2022, un corpus cohérent est venu structurer l'espace numérique européen : règlement (UE) 2022/868 du 30 mai 2022 sur la gouvernance des données (Data Governance Act), règlement (UE) 2022/1925 du 14 septembre 2022 sur les marchés numériques (DMA), règlement (UE) 2022/2065 du 19 octobre 2022 sur les services numériques (DSA), directive (UE) 2022/2555 du 14 décembre 2022 sur la cybersécurité (NIS 2), règlement (UE) 2023/1781 du 13 septembre 2023 sur les semi-conducteurs (Chips Act), règlement (UE) 2023/2854 du 13 décembre 2023 sur les données (Data Act), et règlement (UE) 2024/1689 du 13 juin 2024 sur l'intelligence artificielle (AI Act).
Ce dispositif, dont l'effectivité repose largement sur la coopération entre autorités nationales (CNIL en France, BSI en Allemagne) et l'ENISA pour la cybersécurité, illustre une stratégie juridique originale : à défaut d'autonomie technologique immédiate, l'Union impose son modèle normatif aux opérateurs étrangers souhaitant accéder à son marché, selon une logique parfois qualifiée de « Brussels effect ».
Le régime des transferts internationaux de données après Schrems II
L'ombre portée des législations extraterritoriales américaines, au premier rang desquelles le Clarifying Lawful Overseas Use of Data Act (CLOUD Act) de 2018 et le Foreign Intelligence Surveillance Act (FISA), structure l'ensemble des réflexions sur la souveraineté numérique. La Cour de justice, dans son arrêt Schrems II (CJUE, 16 juillet 2020, C-311/18), a invalidé le Privacy Shield qui encadrait les transferts de données entre l'Union et les États-Unis, en jugeant que le droit américain n'offrait pas un niveau de protection « substantiellement équivalent » à celui garanti par le RGPD. Cette jurisprudence a été complétée par les clauses contractuelles types adoptées par la Commission (décision d'exécution (UE) 2021/914 du 4 juin 2021) et par l'adoption du Data Privacy Framework, objet de la décision d'exécution (UE) 2023/1795 du 10 juillet 2023, dont la pérennité juridique demeure fragile et fait l'objet de nouveaux recours devant la juridiction européenne.
Le Conseil d'État français, dans sa décision Doctolib et Amazon Web Services (CE, ord., 12 mars 2021, n° 450163), avait par ailleurs précisé les exigences applicables aux hébergeurs de données de santé en matière de protection contre les demandes d'accès d'autorités de pays tiers, ouvrant la voie à la doctrine dite « cloud de confiance » puis aux offres de cloud souverain consacrées par la doctrine « cloud au centre » du gouvernement français (circulaire du Premier ministre du 5 juillet 2021 et mise à jour de 2023).
Les implications juridiques de la shadow AI et des chaînes d'approvisionnement compromises
L'incident Vercel-Context.ai illustre deux phénomènes juridiquement structurants. En premier lieu, la « shadow AI », c'est-à-dire l'utilisation par des salariés d'outils d'intelligence artificielle tiers sans validation préalable par l'employeur, engage la responsabilité du responsable du traitement au sens des articles 24, 25 (privacy by design) et 32 (sécurité du traitement) du RGPD. Le manquement à l'obligation de sécurité peut faire l'objet de sanctions administratives pouvant atteindre 2 % du chiffre d'affaires annuel mondial au titre de l'article 83, paragraphe 4, du RGPD, voire 4 % pour les manquements les plus graves. La CNIL a, dans plusieurs délibérations récentes, précisé les obligations des employeurs face à l'utilisation d'outils d'IA générative par leurs salariés, soulignant la nécessité d'une politique interne claire et d'une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé.
En second lieu, l'incident met en lumière la vulnérabilité des chaînes d'approvisionnement logicielles, enjeu désormais central du droit de la cybersécurité. La directive NIS 2 impose aux entités essentielles et importantes, au titre de son article 21, des mesures techniques et organisationnelles incluant explicitement la sécurité des chaînes d'approvisionnement. Le règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 sur la cyberrésilience (Cyber Resilience Act, CRA), entré en vigueur progressivement, impose aux produits comportant des éléments numériques des exigences essentielles de cybersécurité et des obligations de notification des vulnérabilités activement exploitées. La compromission par un simple jeton OAuth illustre la criticité des dispositifs d'authentification forte et de principe du moindre privilège, que la directive NIS 2 érige en obligation.
Les offres de cloud souverain comme réponse institutionnelle et contractuelle
L'annonce de l'offre conjointe Red Hat et Google s'inscrit dans un mouvement de structuration des offres de cloud « de confiance » destinées à concilier performance technique des hyperscalers et exigences de souveraineté juridique. En France, le référentiel SecNumCloud de l'ANSSI, créé en 2016 et renforcé dans sa version 3.2 de mars 2022, constitue la qualification de référence : il impose notamment une localisation des données dans l'Union européenne, une immunité aux lois extraterritoriales et un capital majoritairement détenu par des entités européennes. Le futur European Cybersecurity Certification Scheme for Cloud Services (EUCS), en cours d'adoption par l'ENISA en application du règlement (UE) 2019/881 du 17 avril 2019 (Cybersecurity Act), devrait harmoniser les exigences à l'échelle de l'Union.
Le Data Act, applicable depuis septembre 2025, a par ailleurs introduit aux articles 23 à 31 un droit de portabilité renforcé entre fournisseurs de services cloud et une interdiction progressive des frais de transfert, visant à réduire les situations de dépendance (« vendor lock-in ») à l'égard des grands opérateurs américains. Cette mesure, couplée à l'AI Act qui classifie certains systèmes d'IA comme « à haut risque » et impose une documentation technique renforcée (article 11 et annexe IV), structure un cadre juridique de plus en plus exigeant pour les opérateurs exerçant sur le marché européen.
Enjeux pour les concours
Le candidat doit maîtriser l'architecture juridique à trois niveaux de la souveraineté numérique. Au niveau constitutionnel et législatif national : article 1er de la loi n° 78-17 du 6 janvier 1978 modifiée (informatique et libertés), articles L. 2321-1 et suivants du code de la défense relatifs à la cybersécurité, et doctrine « cloud au centre » issue des circulaires du Premier ministre du 5 juillet 2021 et de 2023. Au niveau européen : RGPD du 27 avril 2016, NIS 2 du 14 décembre 2022, Chips Act du 13 septembre 2023, Data Act du 13 décembre 2023, AI Act du 13 juin 2024, Cyber Resilience Act du 23 octobre 2024. Au niveau des référentiels techniques : SecNumCloud 3.2 de l'ANSSI et futur EUCS.
Sur le plan jurisprudentiel, les décisions structurantes sont Schrems I (CJUE, 6 octobre 2015, C-362/14), Schrems II (CJUE, 16 juillet 2020, C-311/18) et la décision Doctolib-AWS du Conseil d'État (CE, ord., 12 mars 2021, n° 450163). L'angle d'analyse privilégié consiste à articuler trois tensions fondamentales : entre souveraineté juridique (via le droit de l'Union) et dépendance technologique (aux hyperscalers américains et aux fondeurs asiatiques), entre ouverture aux partenariats internationaux (offres conjointes type Red Hat-Google, projet Liberty avec GlobalFoundries) et protection des données stratégiques, et entre ambition d'autonomie européenne et réalité des chaînes d'approvisionnement logicielles interconnectées, dont l'incident Vercel-Context.ai illustre la fragilité. La jurisprudence tend à considérer que le respect du RGPD et du cadre européen de cybersécurité constitue une obligation de résultat pour le responsable de traitement, y compris lorsqu'il fait appel à des sous-traitants ou à des outils tiers, ce qui impose une vigilance accrue face à la shadow AI.