Frankrike utesluter OpenAI från sina egna säkerhetstester

Ett intrång, sedan ett upphandlingsbeslut

Frankrikes finansministerium meddelade att landets skattemyndighet, DGFiP, hade drabbats av en cyberattack som stal uppgifter om omkring 700 000 skattebetalare, inklusive namn, födelsedatum, post- och e-postadresser, telefonnummer, skatteregistreringsnummer, källskattesatser och korrespondens med tjänstemän. Några dagar senare sa budgetminister David Amiel till journalister, efter ett regeringsmöte i Paris, att staten skulle vända sig till det han kallade suveräna AI-företag, som Mistral, för att testa statliga system mot den typ av sårbarheter som gjorde intrånget möjligt. 'Detta utesluter OpenAI', sa han.

Ordningen spelar roll: det här är ingen abstrakt suveränitetspolitik som tillkännages i ett strategidokument, utan ett konkret upphandlingsbeslut fattat som direkt svar på en namngiven säkerhetsbrist, med en namngiven vinnare och ett namngivet uteslutande.

Suveränitet var redan planen

Amiels besked bygger vidare på en politisk linje som Frankrike redan hade satt i rörelse. I juni 2026 presenterade han 'Notre IA' ('Vår AI'), en statlig plan för att sprida suveräna AI-verktyg inom fransk offentlig sektor. Dess kärna, en assistent kallad L'Assistant byggd på Mistrals modell och hostad i SecNumCloud-certifierade datacenter, hade redan rullats ut till nästan en miljon statsanställda innan detta senaste besked.

Mistral, den Paris-baserade startupen som grundades 2023 och värderas till mer än 11 miljarder euro, har blivit Frankrikes standardsvar varje gång landet vill visa att det kan driva känsliga system utan att vara beroende av amerikansk teknik. Stöd från chiputrustningsleverantören ASML har förstärkt den positioneringen. Uppdraget om cybersäkerhetstester är ett nytt användningsområde ovanpå en redan existerande relation, inte ett fristående beslut.

Varför detta spelar roll för varje EU-leverantör som säljer till staten

För alla företag som säljer AI-relaterade tjänster till kontrakt inom europeisk offentlig sektor eller reglerade sektorer är detta ögonblicket då 'suverän AI' slutade vara en slogan i ett policydokument och blev en konkret post i ett verkligt upphandlingsbeslut, utlöst av ett verkligt intrång med ett verkligt tal kopplat till det. En leverantör med huvudkontor i USA namngavs och uteslöts från en specifik, säkerhetskänslig uppgift, inte av prestandaskäl utan av suveränitetsskäl. Samma fråga om beroendet av amerikanska leverantörer inom offentlig sektor väcks i dag även i Sverige och andra EU-länder.

Alla leverantörer, oavsett om de har säte inom EU eller inte, som konkurrerar om statliga kontrakt eller kontrakt för kritisk infrastruktur någonstans inom unionen bör nu räkna med att ett genuint krav på suverän hosting eller suverän modell dyker upp i upphandlingstexten, inte bara en kryssruta för datalagring, och bör ha ett trovärdigt, EU-kontrollerat svar redo innan de blir tillfrågade.

Vad detta inte avgör

Att ett ministerium utesluter en leverantör från ett testuppdrag är inget generellt förbud mot amerikanska AI-verktyg i hela den franska staten, och det säger inget om huruvida Mistrals verktyg faktiskt kommer att vara bättre än OpenAIs på att hitta den typ av sårbarhet som över huvud taget gjorde det möjligt att läcka 700 000 skattebetalarregister. Suveränitet och säkerhetsförmåga är separata frågor, och Frankrike har hittills bara offentligt besvarat den första.

Den bredare EU-satsningen mot suverän moln- och AI-infrastruktur, från Gaia-X till unionens planerade AI-gigafabriker, befinner sig fortfarande i ett tidigt skede och är i praktiken till stor del nationell snarare än enhetlig. Frankrikes beslut är en datapunkt i den bredare trenden, inget bevis på att den redan har blivit verklighet i hela EU.

Läs vidare: En falsk tankesmedja riktade sig mot Frankrike och Tyskland med AI  |  Mistral delar suverän AI i två väddningar