Wyciek danych, a potem decyzja zakupowa
Francuskie ministerstwo finansów ujawniło, że jego urząd skarbowy, DGFiP, padł ofiarą cyberataku, w którym wykradziono dane należące do około 700 tysięcy podatników, w tym nazwiska, daty urodzenia, adresy pocztowe i e-mailowe, numery telefonów, numery identyfikacji podatkowej, stawki podatku pobieranego u źródła oraz korespondencję z urzędnikami. Kilka dni później minister budżetu David Amiel powiedział dziennikarzom, po posiedzeniu rządu w Paryżu, że państwo zwróci się do firm, które nazwał suwerennymi dostawcami SI, takich jak Mistral, aby testować systemy państwowe pod kątem podatności, które umożliwiły ten wyciek. 'To wyklucza OpenAI', powiedział.
Kolejność ma znaczenie: nie jest to abstrakcyjna polityka suwerenności ogłoszona w dokumencie strategicznym, lecz konkretna decyzja zakupowa, podjęta w bezpośredniej odpowiedzi na nazwaną awarię bezpieczeństwa, z nazwanym zwycięzcą i nazwanym wykluczeniem.
Suwerenność już wcześniej była planem
Zapowiedź Amiela rozszerza linię polityczną, którą Francja już wcześniej uruchomiła. W czerwcu 2026 roku przedstawił on plan 'Notre IA' ('Nasza SI'), rządowy plan rozpowszechnienia suwerennych narzędzi SI we francuskich usługach publicznych. Jego centralnym elementem, asystent o nazwie L'Assistant, zbudowany na modelu Mistral i hostowany w centrach danych certyfikowanych zgodnie z SecNumCloud, był już wdrażany wśród niemal miliona pracowników administracji publicznej jeszcze przed tą najnowszą zapowiedzią.
Mistral, paryski startup założony w 2023 roku i wyceniany na ponad 11 miliardów euro, stał się domyślną odpowiedzią Francji za każdym razem, gdy kraj ten chce pokazać, że potrafi obsługiwać wrażliwe systemy bez uzależnienia od amerykańskiej technologii. Wsparcie ze strony dostawcy sprzętu do produkcji chipów, ASML, wzmocniło to pozycjonowanie. Mandat do testowania cyberbezpieczeństwa jest nowym zastosowaniem nałożonym na już istniejącą relację, a nie samodzielną decyzją.
Dlaczego ma to znaczenie dla każdego dostawcy z UE sprzedającego rządom
Dla każdej firmy sprzedającej usługi związane z SI w ramach kontraktów sektora publicznego lub sektorów regulowanych w Europie jest to moment, w którym 'suwerenna SI' przestała być hasłem w dokumencie politycznym i stała się konkretną pozycją w realnej decyzji zakupowej, wywołanej realnym wyciekiem danych z realną liczbą powiązaną z nim. Dostawca z siedzibą w Stanach Zjednoczonych został nazwany i wykluczony z konkretnego, wrażliwego pod względem bezpieczeństwa zadania - nie z powodów wydajnościowych, lecz z powodów suwerenności. To samo pytanie o zależność od amerykańskich dostawców w sektorze publicznym pojawia się dziś również w Polsce i innych krajach UE.
| Data | Wydarzenie |
|---|---|
| Czerwiec 2026 | Amiel przedstawia 'Notre IA', plan wdrożenia suwerennych narzędzi SI, zbudowanych na Mistral, we francuskich usługach publicznych |
| Połowa sierpnia 2026 | Ministerstwo finansów ujawnia cyberatak na DGFiP; skradziono dane około 700 tysięcy podatników |
| Kilka dni później | Amiel ogłasza, że państwo będzie korzystać wyłącznie z suwerennych dostawców SI, takich jak Mistral, wyraźnie wykluczając OpenAI, do testowania podatności systemów |
Każdy dostawca, niezależnie od tego, czy ma siedzibę w UE, ubiegający się o kontrakty rządowe lub dotyczące infrastruktury krytycznej w dowolnym miejscu bloku, powinien teraz spodziewać się, że w treści przetargów pojawi się rzeczywisty wymóg suwerennego hostingu lub suwerennego modelu, a nie tylko rubryka dotycząca rezydencji danych, i powinien mieć gotową wiarygodną odpowiedź kontrolowaną przez UE, zanim zostanie o nią poproszony.
Czego to nie rozstrzyga
Wykluczenie jednego dostawcy przez jedno ministerstwo z jednego mandatu testowego nie jest ogólnym zakazem stosowania amerykańskich narzędzi SI w całym francuskim państwie i nic nie mówi o tym, czy narzędzia Mistral rzeczywiście będą lepsze od narzędzi OpenAI w wykrywaniu tego rodzaju podatności, która w pierwszej kolejności umożliwiła wyciek 700 tysięcy rekordów podatników. Suwerenność i zdolność w zakresie bezpieczeństwa to odrębne kwestie, a Francja jak dotąd publicznie odpowiedziała jedynie na pierwszą z nich.
Szerszy unijny impet w kierunku suwerennej chmury i infrastruktury SI, od Gaia-X po planowane przez blok gigafabryki SI, znajduje się wciąż na wczesnym etapie i w praktyce ma w dużej mierze charakter krajowy, a nie zunifikowany. Decyzja Francji jest jednym punktem danych w tym szerszym trendzie, a nie dowodem, że stał się on już rzeczywistością w całej UE.
Czytaj dalej: Fałszywy think tank uderzył w Francję i Niemcy za pomocą AI | Mistral dzieli suwerenną AI na dwa zakłady
