Un ministro puso nombre a la decisión
El ministro de Presupuestos francés David Amiel hizo algo inusual en un debate sobre soberanía digital: vinculó su nombre y una cita directa a una decisión de compra concreta. El martes 18 de agosto de 2026, Amiel dijo que el Estado se apoyaría en proveedores de IA soberana, citando a Mistral, el laboratorio francés de IA, como ejemplo. Sus palabras, traducidas: "Esto excluye a OpenAI".
Esa frase es la noticia. Las promesas de soberanía de funcionarios europeos son habituales; que un ministro en ejercicio nombre a un proveedor estadounidense concreto como excluido de una función gubernamental concreta, en una declaración citable, no lo es. Telesatellite informó de las declaraciones el 20 de agosto de 2026, vinculándolas directamente con otro anuncio que Amiel hizo ese mismo día: que el Estado usaría herramientas de IA para buscar vulnerabilidades en sus propios sistemas.
El detonante fue una brecha en la autoridad fiscal
El contexto inmediato fue un fallo de seguridad, no un ejercicio político abstracto. La DGFiP, la autoridad fiscal francesa, había sufrido una brecha que expuso nombres, datos de contacto y números de referencia fiscal de unos 700.000 contribuyentes. El comunicado del gobierno francés del 17 de agosto expuso su doctrina de respuesta permanente: detectar e interrumpir mediante ANSSI, la agencia nacional de ciberseguridad; perseguir, con la DGFiP presentando una denuncia penal y una investigación judicial en curso; e informar, con notificaciones a la CNIL y a las personas afectadas a partir del lunes 17 de agosto.
Los comentarios de Amiel sobre el proveedor de IA llegaron al día siguiente, como parte del impulso más amplio del gobierno para usar inteligencia artificial en la detección de vulnerabilidades en todos los ministerios. La brecha no creó la política de soberanía, pero dio a la exclusión de OpenAI un detonante concreto y fechado en lugar de un trasfondo estratégico vago.
Por qué la elección de proveedor es una decisión de seguridad, no solo política
Probar las vulnerabilidades de los propios sistemas del gobierno está entre las cargas de trabajo más sensibles que puede tocar un proveedor de IA. Una herramienta de IA diseñada para encontrar vulnerabilidades necesita acceso profundo y permanente a exactamente la infraestructura que un adversario querría comprometer. Dar ese acceso a cualquier proveedor externo es un riesgo; dárselo a un proveedor con sede en Estados Unidos añade una exposición concreta y con base legal que un proveedor francés o europeo no tiene de la misma manera, porque los proveedores estadounidenses siguen siendo accesibles mediante procesos legales de Estados Unidos como no lo es una empresa doméstica.
Esa es la tensión honesta en la elección de Francia. Mistral es un proveedor doméstico sin la escala ni el historial de los mayores laboratorios estadounidenses, y elegirlo para esta carga de trabajo es una concesión real, no una mejora sin coste. Pero para este caso de uso específico, la jurisdicción está haciendo un trabajo de seguridad real, no sirviendo de teatro político. La decisión solo se sostiene porque es acotada: un ministro nombrado, un proveedor nombrado, una exclusión nombrada, ligada a una función nombrada.
La decisión que esto plantea a toda organización en la UE
El movimiento de Francia da a otros gobiernos y empresas reguladas algo que antes no tenían: una plantilla concreta y documentada para excluir a un proveedor extranjero de IA específico de una función sensible específica, en lugar de un gesto de soberanía genérico. Cualquier organismo de la UE o del Reino Unido que use herramientas de IA para pruebas de vulnerabilidades o equipos rojos sobre infraestructura sensible tiene ahora un precedente al que remitirse al tomar la misma decisión.
La pregunta real que esto plantea no es si usar IA para pruebas de seguridad. Es de qué jurisdicción depende el proveedor de IA, y si eso importa más para esta carga de trabajo concreta que para el uso general de IA de una organización en otras áreas. Francia respondió a esa pregunta para una función, por escrito, con un nombre detrás. Otras instituciones con infraestructura igual de sensible tienen ahora que responderla también.
Leer a continuación: Francia saca su base de datos sanitaria de Azure | Un agente de IA fingió identidades para aprobar código
