Le « kill switch » n'est plus une hypothèse : la commission d'enquête solde la souveraineté de papier

Un diagnostic connu, une preuve inédite

La commission d'enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique a adopté son rapport le 8 juillet 2026, après 45 auditions et 112 personnes entendues. Présidée par Philippe Latombe et rapportée par Cyrielle Chatelain, elle publie un diagnostic économique dont l'essentiel était déjà connu des cadres SI publics. Sur les cinquante premiers fournisseurs de logiciels de l'UGAP (Union des groupements d'achats publics, la centrale d'achat de l'État), 79 % du chiffre d'affaires 2025 revient à des entreprises américaines, contre 81 % l'année précédente, avec une croissance de 20 % en valeur sur un an. Microsoft demeure le premier fournisseur avec 293 millions d'euros de commandes en 2025, en hausse de 26 %. Les administrations consacreraient au moins 1,5 milliard d'euros par an à des logiciels extra-européens, dont un milliard que la rapporteure juge substituable par des solutions open source sans attendre aucun nouveau cadre législatif.

Ces ordres de grandeur circulent depuis le rapport Longuet du Sénat en 2019 et le rapport d'information de 2021. Répétés, ils ont perdu leur pouvoir de surprise et donc leur capacité à déclencher une décision. Ce qui change en 2026 relève d'une autre nature. La commission ne se contente pas de mesurer une exposition au risque, elle établit que le risque s'est réalisé.

Le rapport documente ainsi que Microsoft a reçu 5 587 demandes de divulgation des autorités américaines au seul second semestre 2025, satisfaites à 75 %, et Google environ 60 000, satisfaites à 89 %. Le chiffre relatif à Microsoft se vérifie dans la source primaire de l'éditeur lui-même, son rapport de transparence semestriel, qui précise en outre que 115 mandats visaient des données de contenu stockées hors du territoire américain. La rapporteure souligne que ces volumes restent des minorants, l'opacité demeurant totale sur les métadonnées et sur les procédures relevant du Foreign Intelligence Surveillance Act ou des lettres de sécurité nationale.

Le déplacement est décisif. Une administration qui héberge ses données chez un opérateur soumis à cette juridiction ne court pas un risque théorique de surveillance, elle participe à un dispositif dont le fonctionnement effectif est désormais chiffré. La littérature de relations internationales nomme précisément ce mécanisme.

L'interdépendance instrumentalisée (Farrell et Newman, 2019)

Dans « Weaponized Interdependence : How Global Economic Networks Shape State Coercion » (International Security, vol. 44, n° 1, 2019, p. 42-79), Henry Farrell et Abraham Newman montrent que les réseaux économiques mondiaux se structurent autour d'un petit nombre de nœuds hyperconnectés. L'État qui exerce une juridiction effective sur ces nœuds convertit cette centralité en pouvoir coercitif par deux voies. L'effet panoptique désigne la capacité à recueillir de l'information sur les flux qui transitent par le nœud. L'effet de goulot d'étranglement désigne la capacité à priver un acteur d'accès au réseau. Les auteurs insistent sur un point rarement repris : ce levier constitue un actif qui se déprécie, son pouvoir diminuant à l'instant même où il est employé.

Deux épisodes font du kill switch un fait établi

Le second mécanisme théorisé par Farrell et Newman restait, jusqu'à ces travaux, une abstraction géopolitique commode. La commission en produit deux occurrences documentées, à deux échelles différentes.

La première concerne une personne. Nicolas Guillou, juge français à la Cour pénale internationale, a été inscrit le 20 août 2025 sur la liste des personnes visées par les sanctions américaines prises au titre de l'executive order 14203, signé le 6 février 2025. La mesure sanctionnait sa participation à la décision autorisant l'émission de mandats d'arrêt visant des responsables israéliens. Ses effets ont été immédiats et concrets, avec la perte de moyens de paiement, la fermeture de comptes sur des plateformes majeures et l'annulation de réservations. Un magistrat exerçant dans une juridiction internationale s'est ainsi trouvé exclu par voie administrative d'infrastructures privées qu'il tenait pour neutres. La Cour pénale internationale a depuis engagé la migration de son environnement bureautique vers la suite open source allemande OpenDesk.

La seconde concerne une organisation, et sa brièveté même en fait l'intérêt. Le 12 juin 2026, trois jours après leur mise à disposition, Anthropic a suspendu l'accès à ses modèles Fable 5 et Mythos 5 pour se conformer à une directive de contrôle des exportations du Department of Commerce interdisant leur usage à tout ressortissant étranger. L'entreprise, incapable de trier ses utilisateurs par nationalité en temps réel, a désactivé les deux modèles pour l'ensemble de sa clientèle mondiale. Les contrôles ont été levés le 30 juin et l'accès rétabli le 1er juillet 2026. L'épisode aura duré une vingtaine de jours.

Une coupure durable aurait documenté une rupture. Une coupure brève et réversible documente quelque chose de plus dérangeant pour un directeur de système d'information. Le goulot d'étranglement s'est refermé puis rouvert sur décision administrative unilatérale, sans procédure contradictoire, sans préavis et sans que le fournisseur ait démérité techniquement. La variable déterminante de la continuité de service n'est donc pas la qualité de l'opérateur ni la solidité du contrat, mais la juridiction politique qui s'exerce sur lui. Un plan de continuité d'activité conçu autour de la disponibilité technique ne couvre pas ce risque, parce que ce risque n'est pas technique.

Cette réversibilité valide accessoirement l'avertissement de Farrell et Newman sur la dépréciation de l'arme. Chaque activation accélère chez la cible la recherche d'alternatives, ce que confirme la trajectoire de la Cour pénale internationale.

La doctrine abonde, l'exécution manque

Reste la question que le rapport pose sans y répondre entièrement. La dépendance est décrite, documentée et déplorée depuis plus de dix ans. Qu'est-ce qui empêche l'action de suivre le constat ?

L'article 16 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique dispose que les administrations « encouragent l'utilisation des logiciels libres et des formats ouverts » lors du développement, de l'achat ou de l'utilisation de leurs systèmes d'information. Le verbe constitue le point aveugle du dispositif. Lors des débats parlementaires, un amendement proposant de substituer à « encouragent » les mots « donnent la priorité à » a été rejeté. La disposition n'a jamais reçu de portée contraignante, ce que des associations du logiciel libre relevaient dès sa promulgation.

L'appareil doctrinal s'est pourtant enrichi sans discontinuer, avec les orientations de 2012 sur l'usage des logiciels libres, la circulaire n° 6264/SG du 27 avril 2021 relative à la politique publique de la donnée, des algorithmes et des codes sources, le plan d'action logiciels libres et communs numériques piloté par la DINUM, ou encore le socle interministériel de logiciels libres. La doctrine ne manque pas, elle surabonde. L'exécution, elle, progresse à un rythme que les praticiens décrivent volontiers comme géologique. Un cadre SI qui souhaite justifier une migration dispose de tous les textes nécessaires et d'aucune obligation opposable à sa direction financière.

Le découplage (Meyer et Rowan, 1977)

Dans « Institutionalized Organizations : Formal Structure as Myth and Ceremony » (American Journal of Sociology, vol. 83, n° 2, 1977, p. 340-363), John Meyer et Brian Rowan établissent que les organisations adoptent des structures formelles conformes aux attentes de légitimité de leur environnement, tout en les découplant de leurs activités réelles. La conformité de façade préserve la légitimité sans imposer le coût de la transformation effective. Une « logique de confiance et de bonne foi » se substitue alors à l'inspection des résultats.

La grille éclaire le diagnostic que le rapport porte sur son propre environnement institutionnel. La critique du « sovereignty washing » des centrales d'achat, avec le classement d'éditeurs étrangers parmi les fournisseurs français sur la foi d'une méthodologie contestable, et celle du récit de l'absence d'alternative européenne relayé par certains prestataires, décrivent en langage parlementaire des dispositifs de conformité symbolique. La structure affiche la souveraineté, la pratique reconduit la dépendance, et l'absence d'inspection des résultats permet aux deux de coexister sans contradiction visible.

Le prix de sortie mesure la profondeur du sentier

Le découplage explique pourquoi personne n'est comptable de l'écart. Il n'explique pas pourquoi l'écart se creuse. Un second mécanisme, cumulatif celui-là, s'observe dans les données d'achat.

Après le rachat de VMware par Broadcom, la commission relève des hausses tarifaires atteignant 113 % sur le catalogue UGAP et des devis à plus de 800 % pour certains centres hospitaliers universitaires. Un fournisseur qui multiplie son prix par neuf sans perdre son client délivre une information exacte sur la situation de ce client. Le coût de sortie dépasse le coût de la hausse subie. Le verrouillage tarifaire n'est pas la cause de la dépendance, il en est la mesure.

La dépendance de sentier (Pierson, 2000)

Dans « Increasing Returns, Path Dependence, and the Study of Politics » (American Political Science Review, vol. 94, n° 2, 2000, p. 251-267), Paul Pierson conceptualise la dépendance de sentier comme un processus de rendements croissants. Plus une trajectoire est empruntée, plus les coûts de transfert vers une alternative augmentent, jusqu'à rendre certains choix pratiquement irréversibles. Le moment du choix compte alors autant que son contenu.

L'articulation des trois mécanismes forme une chaîne causale unique, et c'est ce que le débat public manque le plus souvent. La dépendance de sentier installe le verrouillage et rend la sortie coûteuse. Le découplage protège l'inaction en la parant des atours de la conformité doctrinale. L'interdépendance instrumentalisée transforme le tout en vulnérabilité stratégique dès qu'un État tiers décide d'actionner le levier. Chacun de ces mécanismes est banal, leur combinaison ne l'est pas.

La maîtrise interne des compétences sépare les trajectoires

Une objection sérieuse mérite d'être traitée. Si le sentier était réellement verrouillé, aucune administration française n'aurait pu en sortir. Or l'une l'a fait.

La gendarmerie nationale, engagée dès le milieu des années 2000 dans une bascule vers le logiciel libre, ne compte plus qu'une part résiduelle de son parc de postes de travail équipée de la suite bureautique de Microsoft, inférieure à 2 % selon le rapport. Elle estime avoir évité 534 millions d'euros de dépenses depuis 2004 grâce à cette stratégie. Le cas est cité comme contre-exemple vertueux, ce qu'il est, mais son enseignement analytique se situe ailleurs que dans le résultat.

La commission établit en effet une corrélation entre le taux d'externalisation des compétences numériques d'une administration et son niveau de dépendance. Le ministère de la Justice, avec une vingtaine de développeurs internes pour une direction du numérique de plusieurs centaines d'agents et un volume élevé de prestations externalisées, illustre le pôle opposé à celui de la gendarmerie. La variable qui sépare les deux trajectoires n'est ni le budget ni la doctrine, communs aux deux, mais la capacité à conduire une migration sans dépendre d'un tiers pour la concevoir.

Cette observation a une conséquence directe pour la lecture des recommandations du rapport. Une politique d'open source conduite sans réinternalisation de compétences déplacerait le sentier de dépendance vers un intégrateur plutôt que vers un éditeur, sans modifier la structure du problème.

1982, quand l'extraterritorialité s'est retournée contre son auteur

Le précédent qui éclaire le mieux la situation n'est pas un précédent numérique. En 1982, l'administration Reagan a cherché à empêcher la construction du gazoduc euro-sibérien devant acheminer le gaz soviétique vers l'Europe de l'Ouest. Le 18 juin 1982, par une extension extraterritoriale de l'Export Administration Act de 1979, elle a interdit aux filiales européennes d'entreprises américaines et aux entreprises européennes travaillant sous licence américaine d'exporter des équipements vers l'URSS. La mesure était rétroactive et frappait des contrats déjà signés. Plus de vingt sociétés européennes ont été touchées, dont les françaises Dresser-France et Creusot-Loire.

La structure est celle du cas numérique de 2026, trait pour trait. Un État exerce sa juridiction sur un nœud technologique, en l'occurrence la licence d'exploitation, pour contraindre des acteurs situés hors de son territoire, y compris des alliés. La réaction européenne fut coordonnée et frontale, portant sur le principe même de l'extraterritorialité plutôt que sur le fond du dossier. L'embargo a été levé le 13 novembre 1982.

Deux leçons se dégagent, et la seconde est la moins souvent tirée. L'interdépendance n'est jamais symétrique, celui qui contrôle le nœud détient un levier que l'autre subit. Mais l'arme se déprécie à l'usage. La coercition de 1982 a durablement installé en Europe une conscience du risque extraterritorial et alimenté quarante ans de politiques d'autonomie industrielle, avec les résultats inégaux que l'on sait. D'autres précédents partagent cette grammaire, notamment les procédures visant Alstom et BNP Paribas, mais le contentieux du gazoduc a l'intérêt d'avoir opposé ouvertement des alliés, configuration exacte de celle que documente le rapport n° 3054.

Ce que l'automne 2026 rendra observable

Le rapport a nommé l'arme. La question qu'il laisse ouverte n'est pas celle de la volonté politique, abondamment attestée par le caractère transpartisan de ses conclusions, mais celle de la capacité d'un appareil administratif à sortir d'un découplage qu'il a institué pendant dix ans sans que personne n'en soit comptable.

L'article propose une hypothèse vérifiable. Si l'obligation d'open source dans la commande publique n'est pas inscrite dans un véhicule normatif contraignant, loi ou décret, avant la fin de l'année 2026, alors moins de cinq des mesures du rapport auront reçu un début d'exécution réglementaire d'ici juillet 2027. L'indicateur observable est la publication au Journal officiel d'un texte de portée normative citant explicitement le rapport n° 3054 ou fixant une échéance datée de substitution, par opposition à une nouvelle circulaire d'encouragement. Le rendez-vous naturel de cette vérification est la discussion du projet de loi de finances pour 2027, à l'automne 2026, où une ligne budgétaire fléchée sur la migration constituerait un signal de découplage rompu.

Un second indicateur, plus discret, mérite une attention égale. La part substituable immédiatement, évaluée à un milliard d'euros, ne dépend d'aucun obstacle juridique et relève des seules décisions d'achat. Son évolution dans les prochains bilans de l'UGAP séparera l'inertie structurelle, qui appelle du temps et des moyens, de l'inertie volontaire, qui n'appelle qu'une décision. La théorie du découplage prédit que la première servira de justification à la seconde.

---

Note méthodologique

Trois précisions factuelles ont été tranchées. La suspension des modèles Fable 5 et Mythos 5 est intervenue le 12 juin 2026 et non le 12 juillet, avec rétablissement le 1er juillet 2026, chronologie retenue ici parce que la brièveté de l'épisode documente mieux le caractère discrétionnaire du levier. L'executive order 14203 date du 6 février 2025, le 20 août 2025 étant la date de désignation du juge Guillou. L'affectation nominative d'un organisme public français lors de la suspension relève de la presse spécialisée et non du texte du rapport, elle n'a donc pas été reprise. Le décompte des mesures varie selon les sources entre 29 propositions et 47 mesures au total, l'article s'abstient donc de trancher ce chiffre. Le passage du rapport relatif à la plateforme des données de santé a été écarté par choix éditorial, au profit d'un recentrage sur les mécanismes d'action publique. Enfin, à la date de rédaction, cinq semaines après la publication et en période estivale, l'absence de texte d'application est indéterminée plutôt qu'infirmante.

---

Sources

Sources primaires institutionnelles

Assemblée nationale, rapport n° 3054, commission d'enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, tomes I et II, enregistré le 8 juillet 2026, publié le 15 juillet 2026. Page de la commission sur assemblee-nationale.fr.

Légifrance, article 16 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique.

Premier ministre, circulaire n° 6264/SG du 27 avril 2021 relative à la politique publique de la donnée, des algorithmes et des codes sources.

DINUM, plan d'action logiciels libres et communs numériques, code.gouv.fr.

Microsoft, Government Requests for Customer Data Report, second semestre 2025.

Department of State des États-Unis, communiqué de désignation au titre de l'executive order 14203, 20 août 2025. Federal Register, executive order 14203, Imposing Sanctions on the International Criminal Court, 6 février 2025.

Anthropic, communiqué relatif à la suspension et au rétablissement de l'accès aux modèles Fable 5 et Mythos 5, juin et juillet 2026, anthropic.com/news/fable-mythos-access.

Cadres théoriques

Henry Farrell et Abraham L. Newman, « Weaponized Interdependence : How Global Economic Networks Shape State Coercion », International Security, vol. 44, n° 1, 2019, p. 42-79.

John W. Meyer et Brian Rowan, « Institutionalized Organizations : Formal Structure as Myth and Ceremony », American Journal of Sociology, vol. 83, n° 2, 1977, p. 340-363.

Paul Pierson, « Increasing Returns, Path Dependence, and the Study of Politics », American Political Science Review, vol. 94, n° 2, 2000, p. 251-267.

Parallèle historique

Rusen Ergec, « La compétence extraterritoriale à la lumière du contentieux sur le gazoduc euro-sibérien », Politique étrangère, n° 1, 1986, disponible sur Persée.

Bruegel, analyse comparative du différend transatlantique de 1982 sur le gazoduc sibérien.

Presse spécialisée

Banque des Territoires (Localtis), « Souveraineté numérique : la mission de l'Assemblée nationale appelle l'État à reprendre la main », 16 juillet 2026.

L'Usine Digitale, Acteurs Publics, Alliancy et Silicon, comptes rendus de la publication du rapport, juillet 2026.

Inno3, analyses de la place de l'open source et des communs numériques dans le rapport, juillet 2026.

Réserve de lecture. Les données d'achat exploitées par la commission ne couvrent pas l'intégralité de la commande publique et les volumes de demandes de divulgation constituent des minorants reconnus comme tels par leurs auteurs.