En minister satte et navn på beslutningen
Frankrigs budgetminister David Amiel gjorde noget usædvanligt for en debat om digital suverænitet: han knyttede sit navn og et direkte citat til et konkret indkøbsvalg. Tirsdag den 18. august 2026 sagde Amiel, at staten ville stole på suveræne AI-udbydere og nævnte Mistral, det franske AI-laboratorium, som eksempel. Hans ord, oversat: "Dette udelukker OpenAI".
Den sætning er selve nyheden. Suverænitetsløfter fra europæiske embedsmænd er almindelige; en siddende minister, der nævner en bestemt amerikansk udbyder som udelukket fra en bestemt statslig funktion, i en citerbar udtalelse, er det ikke. Telesatellite rapporterede udtalelserne den 20. august 2026 og koblede dem direkte til en anden meddelelse, Amiel kom med samme dag: at staten ville bruge AI-værktøjer til at søge efter sårbarheder i sine egne systemer.
Udløseren var et brud hos skattemyndigheden
Den umiddelbare kontekst var en sikkerhedsbrist, ikke en abstrakt politisk øvelse. DGFiP, den franske skattemyndighed, var blevet ramt af et brud, der eksponerede navne, kontaktoplysninger og skattereferencenumre for cirka 700.000 skatteydere. Den franske regerings kommuniké fra 17. august redegjorde for den stående svardoktrin: opdage og afbryde via ANSSI, det nationale cybersikkerhedsagentur; retsforfolge, hvor DGFiP har indgivet en straffeanmeldelse, og en retslig undersøgelse er i gang; og informere, med underretninger til CNIL og til berørte personer fra mandag den 17. august.
Amiels kommentarer om AI-udbyderen kom dagen efter, som en del af regeringens bredere satsning på at bruge kunstig intelligens til at opdage sårbarheder på tværs af ministerier. Bruddet skabte ikke suverænitetspolitikken, men det gav udelukkelsen af OpenAI en konkret, dateret udløser i stedet for en vag strategisk baggrund.
Hvorfor udbydervalget er en sikkerhedsbeslutning, ikke kun en politisk
At teste egne statslige systemer for svagheder er blandt de mest følsomme opgaver, en AI-udbyder kan røre ved. Et AI-værktøj bygget til at finde sårbarheder har brug for dyb, vedvarende adgang til netop den infrastruktur, en modstander ville ønske at kompromittere. At give den adgang til en ekstern udbyder er en risiko; at give den til en udbyder med hjemsted i USA tilføjer en konkret, juridisk begrundet eksponering, som en fransk eller europæisk udbyder ikke bærer på samme måde, fordi amerikanske udbydere forbliver tilgængelige via amerikanske retsprocesser på en måde, et indenlandsk selskab ikke er.
Det er den ærlige spænding i Frankrigs valg. Mistral er en indenlandsk udbyder uden skalaen eller resultaterne fra de største amerikanske laboratorier, og at vælge det til denne opgave er et reelt kompromis, ikke en gratis opgradering. Men for dette specifikke anvendelsestilfælde udfører jurisdiktion et reelt sikkerhedsarbejde, ikke blot politisk teater. Beslutningen holder kun, fordi den er snævert afgrænset: en navngiven minister, en navngiven udbyder, en navngiven udelukkelse, knyttet til en navngiven funktion.
Beslutningen dette rejser for enhver EU-organisation
Frankrigs træk giver andre regeringer og regulerede virksomheder noget, de manglede for: en konkret, dokumenteret skabelon til at udelukke en bestemt udenlandsk AI-udbyder fra en bestemt følsom funktion, i stedet for en generel suverænitetsgestus. Ethvert EU- eller britisk organ, der kører sårbarhedstests eller red-team AI-værktøjer på følsom infrastruktur, har nu en præcedens at pege på, når det træffer det samme valg.
Det egentlige spørgsmål, dette rejser, er ikke, om AI overhovedet skal bruges til sikkerhedstests. Det er, hvilken jurisdiktion AI-udbyderen svarer til, og om det betyder mere for netop denne opgave end for en organisations generelle AI-brug andre steder. Frankrig besvarede det spørgsmål for en funktion, skriftligt, med et navn bag. Andre institutioner med tilsvarende følsom infrastruktur skal nu også besvare det.
Læs videre: Frankrig flytter sin sundhedsdatabase væk fra Azure | En AI-agent opfandt identiteter for godkendt kode
