Consultante dans une entreprise de services du numérique et engagée dans la réserve citoyenne de l’Armée de l’air et de l’espace, Caroline Duclos analyse la montée en puissance de la souveraineté numérique. Entre exigences de sécurité, régulation européenne et structuration d’un écosystème industriel, elle plaide pour une stratégie fondée sur la réversibilité technologique et la coopération public-privé.

Revue Politique et Parlementaire – Pouvez-vous revenir sur votre parcours, votre formation, votre carrière et votre engagement dans la réserve citoyenne de l’Armée de l’air et de l’espace ?

Caroline Duclos – Après une maîtrise de sciences économiques et un DESS de sociologie des organisations, j’ai exercé pendant près de vingt ans comme consultante. Depuis quatre ans, je suis en charge de la gestion stratégique d’un grand compte au sein d’une entreprise de services du numérique (ESN). Parallèlement à ce parcours professionnel, j’ai intégré le Cours supérieur interarmées de l’Armée de terre, puis l’Institut des hautes études de défense nationale (IHEDN) dans le cadre de la 71e session nationale « Politique de défense ».

Depuis cinq ans, je suis engagée dans la réserve citoyenne de l’Armée de l’air et de l’espace, au sein du réseau ADER. Enfin, depuis plus d’un an, j’interviens comme personnalité qualifiée, sur nomination du Président de la République, au sein du Haut Comité d’évaluation de la condition militaire.

RPP – Dans votre activité, êtes-vous directement confrontée aux questions de souveraineté numérique ? Est-ce un sujet pour vos clients et figure-t-il désormais dans les cahiers des charges des missions qui vous sont confiées ?

Caroline Duclos – Je travaille au sein d’une entreprise de services du numérique (ESN), principalement pour des clients du secteur public, de la défense nationale et, depuis quelques années, du secteur financier. À ce titre, je suis quotidiennement confrontée aux enjeux de souveraineté numérique. Ceux-ci sont devenus à la fois un impératif de sécurité, un facteur de compétitivité, pour rester capables d’innover sans dépendre d’acteurs extérieurs, et, plus largement, une problématique démocratique, notamment face aux problématiques de lutte informationnelle.

Depuis plusieurs années, j’observe une montée en puissance très nette de ces préoccupations. La plupart des organisations se sont désormais approprié la notion de souveraineté et l’intègrent comme un élément structurant de leur stratégie numérique. Toutefois, son niveau d’intégration varie sensiblement selon les secteurs d’activité.

Dans les domaines du service public, de la défense et de la sécurité, la souveraineté est aujourd’hui centrale. Les clients exigent souvent des architectures on-premise ou privées, bâties sur des technologies comme OpenShift ou sur des piles open source renforcées. L’usage de solutions bureautiques non européennes est limité, voire exclu. Le cadre réglementaire joue ici un rôle déterminant : conformité aux référentiels de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), recours obligatoire au label SecNumCloud pour les données sensibles, ou encore interdiction d’hébergements externes sur certains segments. Dans les périmètres les plus critiques, ces exigences vont jusqu’à imposer des équipes localisées en France et une production entièrement maîtrisée sur le territoire.

Dans le secteur financier, la souveraineté n’a pas toujours constitué un axe structurant, mais les lignes évoluent rapidement sous l’effet du règlement européen Digital Operational Resilience Act (DORA), de la jurisprudence Schrems II et des travaux sur l’analyse des dépendances critiques. De nombreux systèmes sont aujourd’hui hébergés en France, mais reposent encore largement sur des technologies et des clouds américains, créant une contradiction entre la volonté de réduire la dépendance et la réalité opérationnelle. Néanmoins, les pratiques évoluent. Certains acteurs, comme le Crédit Agricole ou le groupe Caisse des dépôts, s’appuient désormais sur l’Indice de Résilience Numérique (IRN) afin d’objectiver leurs dépendances, renforcer leur maîtrise technologique et, dans certains cas, orienter leurs choix de fournisseurs.

Dans d’autres secteurs, aéronautique, transport, énergie ou télécoms, l’approche est plus hétérogène. L’arbitrage se fait par usage : la souveraineté se déploie avec discernement, selon la criticité des données et des métiers. Lorsqu’une activité relève d’un périmètre régulé ou défense-adjacent, le recours à des data centers internes ou certifiés SecNumCloud est privilégié. À l’inverse, pour des activités non sensibles, les clouds américains restent largement utilisés. L’exemple de l’usage des solutions de Palantir par Airbus ou par la DGSI il y a quelques années illustre bien cette réalité. Toutefois, les réflexions autour de la souveraineté se renforcent : retrait d’outils jugés à risque, montée en puissance d’alternatives européennes et analyses attentives des dépendances technologiques.

Même si la plupart des acteurs reconnaissent aujourd’hui la nécessité de développer des solutions souveraines, les décisions restent parfois freinées par la crainte des coûts de transition ou par des interrogations sur la performance des alternatives. Pourtant, la souveraineté ne doit pas être perçue comme un frein à l’innovation. Bien au contraire : elle élargit le champ de l’innovation en nous obligeant à concevoir différemment et en renforçant des filières qui étaient jusque-là sous-dimensionnées. Nous l’avons d’ailleurs vécu dans l’après-Covid, lorsque des financements exceptionnels comme le Programme d’Investissements d’Avenir (PIA) ont permis d’accélérer certains projets et de démontrer que l’innovation souveraine était à la fois possible et performante. Le véritable enjeu consiste désormais à pérenniser cet élan et à le transformer en stratégie durable.

RPP – Pour les administrations françaises, existe-t-il aujourd’hui des exigences particulières en matière de souveraineté numérique ? Percevez-vous une évolution de leurs attentes, et cela devient-il un facteur discriminant dans le choix de leurs prestataires ?

Caroline Duclos – Oui, j’observe clairement une évolution des attentes des administrations françaises en matière de souveraineté numérique. Celle-ci devient progressivement un critère de sélection de plus en plus décisif dans leur choix des prestataires notamment. Les administrations sont aujourd’hui beaucoup plus attentives à la localisation des données, mais aussi à l’indépendance vis-à-vis des acteurs soumis aux législations extraterritoriales.

La doctrine d’achat public évolue également de manière significative. La circulaire sur la commande publique numérique, publiée début février, invite désormais les administrations à privilégier en premier lieu les solutions mutualisées de l’État, c’est-à-dire des solutions « sur étagère » déjà mises à disposition au sein de l’administration. L’essor de la Suite numérique de l’État témoigne de ce basculement vers des briques technologiques maîtrisées, conçues pour des usages quotidiens et sécurisés.

Cette orientation a d’ailleurs suscité des inquiétudes parmi les acteurs privés : si l’État internalise trop certaines solutions, ne risque-t-il pas de déplacer la concurrence au détriment d’un marché souverain privé déjà capable de l’offrir ? La circulaire apporte toutefois un signal positif pour notre écosystème. Elle rappelle explicitement que l’achat de solutions issues du secteur privé constitue un levier essentiel pour le développement économique et la souveraineté numérique. Elle précise également que, lorsqu’aucune solution mutualisée n’existe, la préférence doit clairement aller au « buy », c’est-à-dire au recours à des solutions souveraines proposées par le secteur privé, plutôt qu’à un développement interne.

Plus largement, plusieurs initiatives récentes témoignent d’une montée en maturité de la réflexion publique sur ces sujets. Lors des Rencontres de la souveraineté numérique, le 26 janvier 2026, la ministre déléguée chargée de l’Intelligence artificielle et du Numérique, Anne Le Hénanff, a ainsi annoncé la création de deux instruments qui semblent marquer un vrai tournant. D’une part, un Observatoire de la souveraineté numérique, destiné à suivre dans la durée nos dépendances technologiques, à rendre visibles les risques systémiques et à mesurer la résilience de nos chaînes numériques. D’autre part, l’Indice de Résilience Numérique (IRN), ouvert aux entreprises, qui leur permettra d’évaluer concrètement leurs vulnérabilités, d’identifier leurs zones de dépendance et de prioriser leurs efforts. Il y a encore quelques années, ces questions n’étaient pas abordées avec un tel niveau de précision, d’exigence et de maturité collective. Aujourd’hui, la souveraineté numérique n’est plus une posture : elle devient un cadre opérationnel, une véritable boussole, avec des référentiels et des outils partagés.

RPP – Les règlements européens et les dispositifs de régulation mis en place ces dernières années vous semblent-ils constituer un moyen efficace pour limiter l’influence des acteurs américains dans le numérique ?

Caroline Duclos – La réglementation européenne joue aujourd’hui un rôle important. Elle ne supprime pas la dépendance aux acteurs américains du numérique, mais elle permet de la rendre visible, de la documenter et, surtout, de la piloter.

Le règlement DORA, qui couvre la quasi-totalité du secteur financier européen ainsi que ses prestataires informatiques, impose par exemple aux établissements financiers d’évaluer les risques liés aux technologies de l’information et de la communication (TIC), y compris les risques géopolitiques ou de concentration des fournisseurs.

Avec la directive Network and Information Security (NIS2), la dynamique s’élargit encore : près de 110 000 organisations européennes, dans dix-huit secteurs critiques, doivent désormais identifier leurs dépendances stratégiques vis-à-vis de produits ou de services contrôlés par des pays tiers. Cela conduit les organisations à réexaminer des choix technologiques qui, pendant longtemps, allaient de soi.

La directive Résilience des Entités Critiques (REC) s’inscrit dans la même logique, en renforçant la résilience des infrastructures critiques, qu’il s’agisse de l’énergie, des transports, de la santé ou encore des infrastructures numériques. L’objectif n’est pas d’interdire les technologies américaines, mais d’encourager une réduction des dépendances extérieures, en particulier lorsqu’elles concernent des maillons critiques de notre économie ou de notre souveraineté nationale et européenne.

À mes yeux, cette vague réglementaire est vertueuse. Elle permet de mieux objectiver les risques liés à la dépendance aux hyperscalers non européens, elle oblige les organisations à analyser et à documenter ces risques, et elle contribue à créer un cadre concurrentiel plus favorable aux solutions européennes.

RPP – Le retour à la souveraineté numérique passe-t-il, selon vous, par une forme d’« Europe forteresse », par des codépendances intra-européennes ou par une intégration plus forte avec les outils américains ?

Caroline Duclos – Je ne pense pas qu’il existe une réponse unique à cette question. La voie la plus crédible, et sans doute la plus réaliste, repose plutôt sur une forme de réversibilité : la capacité pour les organisations à choisir leurs solutions, à les alterner et à migrer entre différents environnements en fonction de la sensibilité des données et des usages.

Dans les faits, le cloud de confiance qui se construit aujourd’hui est déjà hybride. On voit coexister plusieurs modèles : des solutions reposant sur des technologies d’hyperscalers non européens mais opérées par des acteurs européens et conformes à des exigences élevées de cybersécurité ; des offres européennes s’appuyant sur des technologies majoritairement européennes, qui permettent de limiter les dépendances structurelles ; et, pour les périmètres les plus sensibles, des environnements on-premise, parfois complétés par des dispositifs d’isolation renforcés (type air-gap ou on-perm cloud platform).

C’est précisément pour cette raison que les équipes avec lesquelles je travaille ont toujours une approche sur mesure. Certains clients ont besoin de solutions pleinement souveraines, d’autres peuvent s’appuyer sur des briques technologiques internationales sécurisées, et beaucoup évoluent entre ces deux modèles. Notre rôle consiste donc à concevoir des architectures réversibles, capables d’évoluer dans le temps sans créer d’enfermement technologique.

En définitive, la question n’est pas tant de remplacer ou d’exclure certaines technologies que de choisir intelligemment. La souveraineté numérique repose avant tout sur cette capacité à décider, à ajuster et à faire évoluer ses choix en fonction des risques et des usages. C’est précisément cette logique que nous cherchons à soutenir au quotidien.

RPP – Quel peut être le rôle de l’État en France ? Possédons-nous les moyens de construire une industrie alternative ?

Caroline Duclos – À mon sens, l’État ou d’autres organisations ont un rôle double : sécuriser le présent en garantissant des solutions de continuité et organiser l’avenir en faisant émerger un marché numérique souverain, compétitif et durable.

La première responsabilité consiste à sécuriser les capacités existantes. Cela suppose de disposer de solutions alternatives activables en cas d’interruption de service. Mais ces alternatives ne doivent pas rester théoriques : elles doivent être testées en conditions réelles, sur des périmètres pilotes, afin de pouvoir être mobilisées rapidement en cas de besoin. Autrement dit, il s’agit de disposer d’un véritable « plan B » opérationnel, outils, équipes et procédures, pour éviter toute dépendance irréversible.

La seconde dimension relève d’un travail de structuration industrielle, dans lequel l’État joue un rôle d’architecte pour faire émerger des alternatives crédibles. Cela passe d’abord par la capacité à prioriser les filières critiques en s’appuyant sur les Comités stratégiques de filière (CSF) pour aligner investissements publics et privés mais aussi pour éclairer la commande publique et donner de la visibilité aux acteurs. Cette structuration s’appuie également sur une logique de co-construction en mobilisant des organisations comme le Medef, Numeum, le GIFAS, le GICAN, le GICAT ou les écosystèmes territoriaux afin de bâtir des feuilles de route pragmatiques et réellement opérantes. À cela s’ajoute un travail d’acculturation collective, porté notamment par des initiatives comme le Tour de France de l’IA ou les travaux conduits avec la DiNUM, qui permettent de diffuser des référentiels communs, de partager des retours d’expérience et de renforcer un véritable jeu collectif indispensable au développement de la souveraineté.

L’État doit également créer les conditions d’un marché attractif, en envoyant des signaux clairs et durables. Les financements pluriannuels annoncés dans la feuille de route 2025-2030 visent ainsi à sécuriser les investissements privés et à favoriser l’émergence d’acteurs compétitifs. Les initiatives public-privé, comme « Je choisis la French Tech », stimulent, quant à elles, une demande domestique visible et entraînent l’ensemble des chaînes de sous-traitance.

Les référentiels de sécurité, tels que la qualification SecNumCloud opérée par l’ANSSI, jouent également un rôle clé : ils offrent un avantage compétitif aux solutions conformes sans pour autant freiner l’innovation. Par ailleurs, des instruments comme l’Observatoire de la souveraineté numérique ou l’IRN permettent d’objectiver les dépendances technologiques, de mesurer les progrès réalisés et d’éclairer la décision publique.

Enfin, cet effort ne peut réussir sans une montée en compétences massive, notamment auprès des PME et des ETI. L’accompagnement de 10 000 entreprises dans l’adoption de l’intelligence artificielle illustre cette volonté de renforcer la compétence nationale et d’accélérer l’appropriation des technologies stratégiques.

En définitive, il ne faut pas opposer performance et souveraineté. Lorsqu’elle est bien conçue, la souveraineté agit comme un accélérateur de confiance, d’investissement et de croissance. Elle permet de bâtir une Europe numérique à la fois fiable, performante et autonome, capable de préserver sa compétitivité tout en garantissant sa sécurité.

Ensemble, industriels, acteurs publics, écosystème tech, nous pouvons transformer des dépendances subies en choix stratégiques réversibles, faire émerger des alternatives européennes crédibles et protéger l’espace public numérique.

La souveraineté numérique n’est pas un luxe : elle constitue le socle sur lequel pourra se construire une Europe de l’innovation et de la confiance.

Caroline DUCLOS, Directrice de grands comptes, Groupe Sopra Steria ; membre de la réserve citoyenne ADER

(Propos recueillis par Gilles Rabin)