Frankrig udelukker OpenAI fra egne sikkerhedstests

Et brud, derefter en indkøbsbeslutning

Frankrigs finansministerium oplyste, at landets skattemyndighed, DGFiP, blev ramt af et cyberangreb, der stjal data tilhørende omkring 700.000 skatteydere, herunder navne, fødselsdatoer, post- og e-mailadresser, telefonnumre, skatte-id-numre, kildeskattesatser og korrespondance med embedsmænd. Få dage senere fortalte budgetminister David Amiel journalister efter et regeringsmøde i Paris, at regeringen ville henvende sig til det, han kaldte suveræne AI-virksomheder, som Mistral, for at teste statslige systemer for den type sårbarheder, der gjorde bruddet muligt. 'Dette udelukker OpenAI', sagde han.

Rækkefølgen betyder noget: dette er ikke en abstrakt suverænitetspolitik annonceret i et strategidokument, men en konkret indkøbsbeslutning truffet som direkte svar på en navngiven sikkerhedsbrist, med en navngiven vinder og en navngiven udelukkelse.

Suverænitet var allerede planen

Amiels udmelding udvider en politisk linje, Frankrig allerede havde sat i gang. I juni 2026 præsenterede han 'Notre IA' ('Vores AI'), en regeringsplan om at udbrede suveræne AI-værktøjer i den franske offentlige sektor. Dens kerne, en assistent kaldet L'Assistant bygget på Mistrals model og hostet i SecNumCloud-certificerede datacentre, blev allerede udrullet til næsten en million offentligt ansatte inden denne seneste udmelding.

Mistral, den Paris-baserede startup grundlagt i 2023 og værdisat til mere end 11 milliarder euro, er blevet Frankrigs standardsvar, hver gang landet vil vise, at det kan drive følsomme systemer uden at være afhængigt af amerikansk teknologi. Opbakning fra chipudstyrsleverandøren ASML har styrket den positionering. Mandatet til cybersikkerhedstest er et nyt anvendelsesområde oven på et eksisterende forhold, ikke en selvstændig beslutning.

Hvorfor det betyder noget for enhver EU-leverandør, der sælger til det offentlige

For enhver virksomhed, der sælger AI-relaterede tjenester til kontrakter i den europæiske offentlige sektor eller regulerede sektorer, er dette øjeblikket, hvor 'suveræn AI' holdt op med at være et slogan i et politikdokument og blev en konkret post i en reel indkøbsbeslutning, udløst af et reelt brud med et reelt tal knyttet til det. En leverandør med hovedsæde i USA blev navngivet og udelukket fra en specifik, sikkerhedsfølsom opgave, ikke af præstationsmæssige grunde, men af suverænitetsmæssige grunde. Det samme spørgsmål om afhængighed af amerikanske leverandører i den offentlige sektor rejser sig i dag også for Danmark og andre EU-lande.

Enhver leverandør, uanset om den er baseret i EU eller ej, der konkurrerer om offentlige kontrakter eller kontrakter om kritisk infrastruktur nogen steder i blokken, bør nu forvente, at et reelt krav om suveræn hosting eller suveræn model dukker op i udbudsteksten, ikke bare en afkrydsningsboks om dataresidens, og bør have et troværdigt, EU-kontrolleret svar klar, inden det bliver efterspurgt.

Hvad dette ikke afklarer

At ét ministerium udelukker én leverandør fra ét testmandat, er ikke et generelt forbud mod amerikanske AI-værktøjer i hele den franske stat, og det siger intet om, hvorvidt Mistrals værktøjer rent faktisk vil være bedre end OpenAIs til at finde den type sårbarhed, der overhovedet gjorde det muligt at lække 700.000 skatteyderregistre. Suverænitet og sikkerhedsevne er separate spørgsmål, og Frankrig har indtil videre kun offentligt besvaret det første.

Den bredere EU-bevægelse mod suveræn cloud- og AI-infrastruktur, fra Gaia-X til blokkens planlagte AI-gigafabrikker, er stadig i sin vorden og i praksis stort set national frem for samlet. Frankrigs beslutning er et datapunkt i den bredere tendens, ikke et bevis på, at den allerede er en realitet i hele EU.

Læs videre: En falsk tænketank målrettede Frankrig og Tyskland med AI  |  Mistral deler suveræn AI i to væddemål