Une faille, puis une décision d'achat public
Le ministère des Finances a révélé que la DGFiP, l'administration fiscale, avait été visée par une cyberattaque ayant dérobé des données appartenant à environ 700 000 contribuables : noms, dates de naissance, adresses postales et e-mail, numéros de téléphone, numéros fiscaux, taux de prélèvement à la source et correspondances avec les agents. Quelques jours plus tard, le ministre du Budget David Amiel a déclaré aux journalistes, à l'issue d'un conseil des ministres à Paris, que l'État se tournerait vers ce qu'il a appelé des entreprises d'IA souveraine, comme Mistral, pour tester ses systèmes face au type de vulnérabilités ayant rendu cette faille possible. 'Cela exclut OpenAI', a-t-il déclaré.
L'enchaînement compte : il ne s'agit pas d'une politique de souveraineté abstraite annoncée dans un document stratégique, mais d'une décision d'achat public précise, prise en réponse directe à une défaillance de sécurité nommée, avec un gagnant nommé et une exclusion nommée.
La souveraineté, un choix déjà engagé
L'annonce d'Amiel prolonge une ligne politique que la France avait déjà amorcée. En juin 2026, il avait dévoilé 'Notre IA', un plan gouvernemental visant à diffuser des outils d'IA souveraine dans l'ensemble des services publics français. Sa pièce maîtresse, un assistant baptisé L'Assistant, bâti sur le modèle de Mistral et hébergé dans des datacenters certifiés SecNumCloud, était déjà déployé auprès de près d'un million d'agents publics avant cette dernière annonce.
Mistral, la start-up parisienne fondée en 2023 et valorisée à plus de 11 milliards d'euros, est devenue la réponse par défaut de la France chaque fois qu'elle veut démontrer sa capacité à faire fonctionner des systèmes sensibles sans dépendre de la technologie américaine. Le soutien du fournisseur d'équipements pour la fabrication de puces ASML a renforcé ce positionnement. Le mandat de test en cybersécurité constitue un nouvel usage qui vient s'ajouter à une relation déjà établie, et non une décision isolée.
Pourquoi cela compte pour tout fournisseur vendant à un État en Europe
Pour toute entreprise vendant des services liés à l'IA à des contrats du secteur public ou de secteurs régulés en Europe, c'est le moment où 'l'IA souveraine' a cessé d'être un slogan de document de politique publique pour devenir une ligne budgétaire concrète dans une véritable décision d'achat, déclenchée par une faille bien réelle assortie d'un chiffre bien réel. Un fournisseur dont le siège se trouve aux États-Unis a été nommément désigné et écarté d'une mission précise et sensible en matière de sécurité, non pour des raisons de performance, mais pour des raisons de souveraineté.
| Date | Événement |
|---|---|
| Juin 2026 | Amiel dévoile 'Notre IA', un plan visant à déployer des outils d'IA souveraine, bâtis sur Mistral, dans les services publics français |
| Mi-août 2026 | Le ministère des Finances révèle la cyberattaque contre la DGFiP ; données d'environ 700 000 contribuables dérobées |
| Quelques jours plus tard | Amiel annonce que l'État n'aura recours qu'à des fournisseurs d'IA souveraine comme Mistral, excluant explicitement OpenAI, pour tester les vulnérabilités des systèmes |
Tout fournisseur, basé ou non dans l'UE, candidat à des marchés publics ou d'infrastructures critiques n'importe où dans le bloc doit désormais s'attendre à voir apparaître dans les appels d'offres une véritable exigence d'hébergement ou de modèle souverain, et non plus une simple case à cocher sur la résidence des données, et doit tenir prête une réponse crédible et maîtrisée par l'UE avant qu'on la lui demande.
Ce que cette décision ne règle pas
Qu'un ministère écarte un fournisseur d'un mandat de tests ne constitue pas une interdiction générale des outils d'IA américains dans l'ensemble de l'État français, et cela ne dit rien de savoir si les outils de Mistral seront réellement plus performants que ceux d'OpenAI pour détecter le type de vulnérabilité ayant permis, en premier lieu, la fuite de 700 000 dossiers de contribuables. Souveraineté et capacité de sécurité sont deux questions distinctes, et la France n'a pour l'instant répondu publiquement qu'à la première.
La dynamique plus large de l'UE vers un cloud et une infrastructure d'IA souverains, de Gaia-X aux gigafactories d'IA prévues par le bloc, en est encore à ses débuts et reste, dans les faits, largement nationale plutôt qu'unifiée. La décision française constitue un point de données pour cette tendance plus large, pas la preuve qu'elle serait déjà réalisée à l'échelle de l'UE.
À lire ensuite: Un faux think tank a visé la France et l'Allemagne avec l'IA | Mistral divise l'IA souveraine en deux paris
