Un ministre a mis un nom sur la décision
Le ministre du Budget français David Amiel a fait quelque chose d'inhabituel pour un débat sur la souveraineté numérique : il a associé son nom et une citation directe à un choix d'achat précis. Le mardi 18 août 2026, Amiel a déclaré que l'État s'appuierait sur des fournisseurs d'IA souveraine, citant Mistral, le laboratoire français d'IA, comme exemple. Ses mots : "Cela exclut OpenAI".
Cette phrase est l'information clé. Les promesses de souveraineté de la part de responsables européens sont courantes ; un ministre en exercice nommant un fournisseur américain précis comme exclu d'une fonction gouvernementale précise, dans une déclaration citable, l'est beaucoup moins. Telesatellite a rapporté ces propos le 20 août 2026, les reliant directement à une autre annonce faite par Amiel le même jour : que l'État utiliserait des outils d'IA pour rechercher des vulnérabilités dans ses propres systèmes.
Le déclencheur fut une fuite chez l'administration fiscale
Le contexte immédiat fut une défaillance de sécurité, pas un exercice politique abstrait. La DGFiP, l'administration fiscale française, avait subi une fuite exposant noms, coordonnées et numéros de référence fiscale d'environ 700 000 contribuables. Le communiqué du gouvernement français du 17 août a exposé sa doctrine de réponse permanente : détecter et interrompre via l'ANSSI, l'agence nationale de cybersécurité ; poursuivre, la DGFiP ayant déposé une plainte pénale avec une instruction judiciaire en cours ; et informer, avec des notifications à la CNIL et aux personnes concernées à partir du lundi 17 août.
Les commentaires d'Amiel sur le fournisseur d'IA sont arrivés le lendemain, dans le cadre de l'effort plus large du gouvernement pour utiliser l'intelligence artificielle afin de détecter les vulnérabilités dans tous les ministères. La fuite n'a pas créé la politique de souveraineté, mais elle a donné à l'exclusion d'OpenAI un déclencheur concret et daté plutôt qu'une toile de fond stratégique vague.
Pourquoi le choix du fournisseur est une décision de sécurité, pas seulement politique
Tester les vulnérabilités des propres systèmes de son gouvernement compte parmi les tâches les plus sensibles qu'un fournisseur d'IA puisse toucher. Un outil d'IA conçu pour trouver des vulnérabilités a besoin d'un accès profond et permanent à exactement l'infrastructure qu'un adversaire voudrait compromettre. Confier cet accès à un fournisseur externe est un risque ; le confier à un fournisseur basé aux États-Unis ajoute une exposition concrète et fondée juridiquement qu'un fournisseur français ou européen ne porte pas de la même manière, car les fournisseurs américains restent atteignables par des procédures judiciaires américaines d'une façon qu'une entreprise nationale ne l'est pas.
C'est la tension honnête dans le choix de la France. Mistral est un fournisseur national sans l'échelle ni le palmarès des plus grands laboratoires américains, et le choisir pour cette tâche est un véritable compromis, pas une amélioration sans coût. Mais pour ce cas d'usage précis, la juridiction accomplit un véritable travail de sécurité, pas seulement du théâtre politique. La décision ne tient que parce qu'elle est étroite : un ministre nommé, un fournisseur nommé, une exclusion nommée, liée à une fonction nommée.
La décision que cela pose à chaque organisation européenne
Le geste de la France donne à d'autres gouvernements et entreprises régulées quelque chose qui leur manquait : un modèle concret et documenté pour exclure un fournisseur d'IA étranger précis d'une fonction sensible précise, plutôt qu'un geste général de souveraineté. Tout organisme européen ou britannique exploitant des tests de vulnérabilité ou des outils d'IA de type red-team sur des infrastructures sensibles dispose désormais d'un précédent auquel se référer pour prendre la même décision.
La vraie question soulevée ici n'est pas de savoir s'il faut utiliser l'IA pour les tests de sécurité en général. C'est de savoir de quelle juridiction dépend le fournisseur d'IA, et si cela compte davantage pour cette tâche précise que pour l'usage général d'IA d'une organisation ailleurs. La France a répondu à cette question pour une fonction, par écrit, avec un nom derrière. D'autres institutions gérant des infrastructures tout aussi sensibles doivent désormais y répondre aussi.
À lire ensuite: La France sort sa base de données de santé d'Azure | Un agent IA a fabriqué de fausses identités
