La souveraineté numérique européenne à l'épreuve du réel
Cloud, semi-conducteurs, paiements, plateformes : derrière nos usages numériques se cachent des dépendances qui ne sont plus seulement économiques ou technologiques. Elles sont devenues des instruments de puissance. Pour l’Europe, l’enjeu n’est donc plus de rêver à une souveraineté absolue, mais de retrouver une capacité essentielle : celle de choisir, de résister et, si nécessaire, de dire non.
Par Camille Boulenguer, Chercheuse à l’IRIS, directrice de l’Observatoire géopolitique du numérique et des technologies émergentes
Nos dépendances ne sont plus neutres
À mesure que l’économie devient numérique, la cybersécurité cesse d’être un sujet technique pour devenir un enjeu de sécurité nationale. Au-delà du coût d’une cyberattaque, les infrastructures qui produisent aujourd’hui la valeur économique concentrent également les vulnérabilités sur lesquelles s’exercent les rapports de force géopolitiques. Les enjeux de souveraineté économique et de sécurité tendent ainsi à se confondre. Protéger nos infrastructures numériques ce n’est plus seulement une question de compétitivité : c’est une condition de la résilience des États face à des adversaires qui ont pleinement intégré le cyber dans leur stratégie de puissance. Rappelons que l’économie numérique représenterait désormais plus de la moitié (environ 51 %) du PIB produit dans les pays développés. Ce basculement change la nature même de l’enjeu cyber. Ce qui relevait hier d’un secteur parmi d’autres est devenu le socle sur lequel repose une grande partie de la valeur produite.
Or l’écosystème cyber européen fonctionne aujourd’hui sur des infrastructures — cloud, systèmes d’exploitation, semi-conducteurs — dont il ne maîtrise ni forcément la propriété, ni le droit applicable, ni, en dernier ressort, la continuité.
Une dépendance technologique cesse d’être anodine dès lors que celui qui la contrôle peut décider de s’en servir. Avec le retour de Donald Trump à la Maison-Blanche, ces briques techniques apparaissent plus clairement encore pour ce qu’elles sont devenues : des leviers géopolitiques à part entière, mobilisables dans la guerre économique entre puissances au même titre que l’énergie ou les matières premières. C’est tout le sens de la weaponized interdependence : la capacité d’une puissance à transformer un nœud technique, financier ou industriel en point de pression géopolitique.
Quand l’infrastructure devient un rapport de force
Trois exemples permettent de mesurer l’ampleur de cette réalité.
Dans le cloud, d’abord : trois hyperscalers américains — AWS, Microsoft Azure et Google Cloud — contrôlent aujourd’hui plus de 70 % du marché européen, un chiffre resté remarquablement stable malgré cinq années d’initiatives en faveur d’un « cloud souverain », de Gaia-X à Bleu ou S3NS.
Dans les semi-conducteurs ensuite : la lithographie EUV, indispensable à la fabrication des puces les plus avancées, ne dispose que d’un fournisseur mondial, le néerlandais ASML. Washington a pourtant obtenu, dès 2022-2023, de ses alliés qu’ils restreignent les exportations de cette technologie vers la Chine. Preuve qu’un chokepoint industriel peut, du jour au lendemain, devenir un instrument de politique étrangère.
Dans les paiements, enfin, le duopole Visa-Mastercard concentre environ 60 % des paiements par carte dans la zone euro.
Ces situations n’ont pas toutes la même origine, ni la même portée. Mais elles disent toutes la même chose : celui qui contrôle l’infrastructure dispose d’un pouvoir qui dépasse largement l’infrastructure elle-même. Dans chacun de ces cas, la concentration, loin d'être un accident de marché, s'est imposée comme une construction stratégique pensée sur le long-terme, élaborée
progressivement, entretenu, puis assumée comme tel.
Résultat : le secteur des technologies de l'information et de la communication européen ne représentait, en 2022, que 5,5 % de la valeur ajoutée brute de l'UE, selon Eurostat. Cet écart entre l'ampleur de la dépendance et l'étroitesse de la capacité productive propre résume, à lui seul, la vulnérabilité stratégique du continent. A titre d’exemple, dans le domaine des paiements, on recense entre 13 et 19 milliards d'euros de friction annuelle pour les entreprises européennes.¹ Ce constat ne serait qu'à moitié préoccupant si l'Europe faisait au moins front commun : ce n'est pas le cas, avec neuf schémas de paiement domestiques qui coexistent sans converger. La menace externe est donc redoublée par une vulnérabilité interne.
Au-delà de ses conséquences économiques, cette dépendance fait émerger trois risques stratégiques majeurs.
La concentration a un prix
Le premier est celui de la coercition géopolitique.
Les déboires de BNP Paribas en 2025, comme les difficultés rencontrées plus récemment par le juge Guillou (comptes gelés, accès à Visa et Mastercard suspendu sur décision américaine) rappellent qu’une puissance qui contrôle des infrastructures critiques dispose de leviers d’influence considérables, en particulier lorsque s’y ajoute la portée extraterritoriale de son droit. Cloud, plateformes, rails de paiement : aucune de ces infrastructures n’est totalement neutre dès lors qu’elle constitue un passage obligé (choke point).
Une démocratie peut-elle réellement parler de souveraineté si son fonctionnement quotidien repose sur des infrastructures qu’elle serait incapable de remplacer ?
Les débats récents autour de l’hypothèse d’un « kill switch » numérique américain appliqué à l’Europe doivent, nous conduire à prendre cette question au sérieux. Non pour céder à la tentation du découplage ou du repli, mais pour cartographier nos dépendances, identifier nos points de vulnérabilité et investir là où notre liberté d’action est réellement en jeu.
Un incident suffit parfois à tout arrêter
Le deuxième risque est cyber et systémique.
La concentration des infrastructures critiques entre les mains d’un nombre restreint d’acteurs transforme chaque maillon essentiel en potentiel point de défaillance unique à l’échelle continentale. La panne mondiale provoquée par CrowdStrike en juillet 2024 en a fourni une démonstration presque clinique : une simple mise à jour défectueuse, sans aucune intention malveillante, a suffi à perturber des aéroports, des hôpitaux, des banques et des administrations sur plusieurs continents. Si une erreur peut produire un tel effet de cascade, que pourrait provoquer une action délibérée visant les mêmes points de concentration ?
C’est là tout le paradoxe de notre modèle numérique. La performance économique se nourrit souvent de la centralisation. La résilience stratégique, elle, exige de la diversification, de la redondance et des solutions de repli.
Le cyber au service de conflits hybrides
Le troisième risque est celui de l’ingérence et de la déstabilisation.
La France est ciblée pour les valeurs qu’elle représente et pour ses choix diplomatiques. Ses attaques cyber permettent précisément aux Etats et forces ennemis de peser sur ces choix sans nécessairement assumer une confrontation directe. En avril 2025, la France a publiquement attribué plusieurs opérations cyber au renseignement militaire russe, visant notamment le processus démocratique français, des médias et des infrastructures liées aux Jeux olympiques. Cette évolution traduit une transformation profonde de l’environnement stratégique. À mesure que les rapports de force se durcissent, le cyber apparaît comme un instrument particulièrement attractif : moins coûteux qu’une confrontation conventionnelle, plus complexe à attribuer et capable de produire des effets importants tout en demeurant sous le seuil de la guerre ouverte.
Dans le même temps, les frontières entre action étatique et criminalité organisée deviennent plus poreuses. Plusieurs opérations documentées en Europe ont montré comment des intermédiaires criminels peuvent être recrutés, notamment via des plateformes comme Telegram, pour conduire des actions de sabotage, de surveillance ou de déstabilisation. Cette hybridation brouille volontairement les responsabilités, complique l’attribution et permet aux commanditaires de rester sous le seuil du conflit ouvert. Face à la complexification et à la massification des attaques, la rapidité de la réponse technique, politique et judiciaire devient donc essentielle.
Être souverain, c’est pouvoir choisir : coopération, résilience et réversibilité
L’objectif de l’Europe ne doit pas être de reproduire, en miroir, les logiques de puissance qu’elle observe ailleurs. Il ne s’agit pas davantage de croire à une indépendance technologique totale qui serait, dans un monde profondément interdépendant, largement illusoire. En revanche, il faut garder à l’idée qu’une dépendance n'est véritablement problématique que lorsqu'elle devient irréversible.
L’enjeu est plus concret : préserver notre liberté d’action, de coopération et notre autonomie de décision.
Coopérer pour se renforcer. La souveraineté numérique peut se définir comme le pouvoir d’un Etat de déterminer lui-même l'étendue de ses compétences, y compris de les déléguer, de les mutualiser ou de les reprendre. Or, dans le cyberespace, où les attaques traversent les frontières, la coopération entre États est devenue indispensable : les acteurs malveillants ciblent fréquemment les maillons les plus vulnérables afin d’accéder, par ricochet, à des systèmes mieux protégés, faisant de la sécurité de chacun une condition de la sécurité de tous.
Être souverain ensemble permet ainsi de conserver une capacité de choix là où l'isolement conduirait à la dépendance.
Apprendre à mesurer autrement le coût de nos dépendances. Une solution moins chère aujourd’hui peut devenir beaucoup plus coûteuse si son remplacement est impossible demain. Les politiques publiques et les entreprises devraient donc intégrer dans leurs arbitrages non seulement le prix et la performance, mais aussi le coût de sortie, le délai de substitution et le nombre d'alternatives réellement disponibles.
Construire dès aujourd'hui la réversibilité des infrastructures stratégiques. Les États membres doivent pouvoir changer de fournisseur, migrer leurs données, substituer une technologie ou réinternaliser progressivement certaines fonctions critiques s'ils le souhaitent. La souveraineté ne réside pas dans l'absence de dépendances, mais dans la capacité à les réviser et à les réorganiser lorsque les circonstances l'exigent.
Oser, en somme, ce n'est pas rompre brutalement avec des dépendances patiemment construites depuis plusieurs décennies. C'est empêcher qu'elles ne deviennent des dépendances de destin. La souveraineté numérique consiste à préserver la possibilité de choisir et suppose de maintenir ouvertes des alternatives techniques et technologiques.
