État des lieux d'une dépendance stratégique - partie 1
L’Union européenne dépend aujourd’hui de fournisseurs technologiques étrangers pour l’essentiel de ses logiciels, de son cloud et de ses infrastructures numériques. Nous dressons le constat de cette dépendance : son ampleur, ses strates, ses origines et les risques concrets qu’elle fait peser sur l’économie et la souveraineté du continent.
L’Europe sous perfusion technologique étrangère
L’Union européenne évolue aujourd’hui dans une dépendance technologique profonde, qui touche à la fois ses logiciels, ses infrastructures cloud et une partie essentielle de ses services numériques critiques. Selon une étude Asterès commandée par le Cigref, 80 % des dépenses européennes en logiciels et services cloud à usage professionnel sont captées par des entreprises américaines des flux qui représentent aussi près de 2 millions d’emplois directs et indirects aux États-Unis. Mais la dépendance ne se limite pas aux flux financiers : elle est structurelle. Au-delà du seul poste de dépenses, l’Europe reste tributaire de pays tiers pour plus de quatre cinquièmes de l’ensemble de ses produits, services, infrastructures et propriétés intellectuelles numériques. Autrement dit, la continuité de l’économie et des services publics européens repose sur des chaînes que le continent ne maîtrise pas, ou seulement très partiellement. Cette situation n’est pas le fruit d’une négligence récente. Elle s’est construite sur plusieurs décennies, au fil d’un postulat implicite : les technologies américaines étaient fiables, les relations transatlantiques stables, et l’efficacité économique primait sur toute considération stratégique. Le retour de Donald Trump à la Maison-Blanche, ses menaces sur le Groenland, ses pressions sur les alliés européens et l’affaire de la Cour pénale internationale ont brutalement rappelé que cette dépendance pouvait aussi devenir un risque politique.
Une dépendance en couches multiples
Cette dépendance ne prend pas une seule forme : elle s’exprime à plusieurs niveaux, chacun révélant une fragilité spécifique.
Les matières premières et le hardware
L’Europe porte moins de 10 % de la production mondiale de semi-conducteurs, loin derrière l’Asie et les États-Unis. Mais sur les matières premières, la dépendance ne se situe pas là où on l’attend. L’extraction, elle, s’est dispersée : la part chinoise dans les terres rares est retombée d’environ 95 % en 2010 à 60 % aujourd’hui, et moins de 2 % du cobalt mondial sort de mines chinoises. Le goulot d’étranglement est en aval, au raffinage, où la Chine traite 79 % du cobalt, 68 % du lithium, 95 % du manganèse et près de 90 % des terres rares, dont elle produit 92 % des aimants permanents (Ifri / Annales des Mines, 2025). Ouvrir des mines hors de Chine ne règle donc rien : la dépendance ne porte pas sur la ressource, mais sur la capacité de la transformer. Et Pékin actionne ce levier depuis 2023 : licences d’exportation sur le gallium et le germanium, étendues à sept terres rares puis, en mai 2025, à 240 lignes de produits, et, dès décembre 2023, interdiction d’exporter les technologies de raffinage elles-mêmes. Le levier géopolitique n’est plus une hypothèse : il est activé.
Carte du monde de la dépendance de la France aux métaux stratégiques (ADEME)
La production des puces les plus avancées, indispensables à l’intelligence artificielle, est ultra-concentrée entre les mains de trois acteurs : TSMC (Taïwan), Intel (États-Unis) et Samsung (Corée du Sud). Aucun n’est européen, mais il serait faux d’en conclure que l’Europe est absente de la chaîne. Elle en tient au contraire deux segments décisifs : l’amont des équipements, où ASML, ASM International, Carl Zeiss et l’institut belge imec sont incontournables, et les puces matures, où Infineon, STMicroelectronics et NXP restent des acteurs mondiaux. Ce que l’Europe ne maîtrise pas, c’est la fonderie de pointe le maillon où se fabriquent les puces d’IA. L’European Chips Act de 2023, doté de 43 milliards d’euros, ambitionne de porter la part européenne de la production mondiale à 20 % d’ici 2030, mais selon la Cour des comptes européenne cet objectif sera très probablement manqué : les projections actuelles tablent sur environ 11,7 %.
Les câbles sous-marins
Moins visible, mais tout aussi stratégique : 99 % du trafic mondial de données transitent par des câbles sous-marins. En novembre 2024, l’État français a acquis 80 % du capital d’Alcatel Submarine Networks (ASN), positionnant ainsi la France comme acteur majeur dans un secteur critique souvent invisible mais vital pour toute ambition de souveraineté des flux de données.
Principaux faisceaux et nœuds de câbles sous-marins mondiaux (Géoconfluences, 2024).
Le cloud
Au-delà des applications, il y a l’infrastructure. Amazon Web Services (AWS), Microsoft Azure et Google Cloud captent plus de 70 % du marché européen du cloud. Un chiffre d’autant plus frappant que les fournisseurs européens ont vu leur part de marché fondre de 29 % en 2017 à seulement 15 % en 2025. Les plus grands acteurs européens, SAP et Deutsche Telekom, ne représentent chacun que 2 % du marché continental. Le cloud n’est pas un simple hébergement de données : c’est devenu l’usine numérique de l’économie européenne. Une restriction d’accès créerait un choc systémique immédiat.
La digital workplace et le modèle SaaS
La dépendance s’observe sur chaque bureau, au sens littéral. La messagerie professionnelle de millions d’organisations européennes repose sur Microsoft 365 ou Google Workspace. La relation client s’appuie sur Salesforce, les processus IT sur ServiceNow, la chaîne graphique sur Adobe, le développement logiciel sur GitHub (propriété de Microsoft), la virtualisation sur VMware, la supervision sur Datadog, la cybersécurité sur CrowdStrike ou Palo Alto Networks. Cette couche est la plus visible et paradoxalement la moins discutée, parce qu’elle est perçue comme une commodité. Or c’est elle qui porte l’authentification : dans une organisation standardisée sur Microsoft 365, l’annuaire d’identité conditionne l’accès à l’ensemble du système d’information, y compris à des applications qui n’ont rien à voir avec la bureautique. Et cet accès est devenu révocable. À l’époque des licences perpétuelles, un éditeur qui faisait faillite ou rompait ses relations commerciales ne privait pas immédiatement ses clients de leurs outils : le logiciel continuait de tourner sur les serveurs de l’entreprise. Le modèle SaaS a supprimé ce filet. Le droit d’utilisation y est par nature suspendable, et il commande la porte d’entrée : une coupure ne provoquerait pas une gêne mais un arrêt plus de connexion, donc plus de messagerie, plus de CRM, plus d’outils de collaboration, plus de chaîne logicielle pour développer et sécuriser les applications. Ce n’est pas perdre ses e-mails, c’est perdre l’accès à son propre système d’information.
Les paiements
Enfin, dans les paiements du quotidien, l’Europe reste largement structurée par des réseaux dominants comme Visa et Mastercard, tandis que les alternatives paneuropéennes restent en phase de déploiement. Selon la BCE, 61 % des transactions par carte réalisées dans la zone euro passent par des systèmes de paiement internationaux. Dans le même temps, Wero avance progressivement : le paiement entre particuliers est déjà disponible, le paiement en ligne doit être lancé en 2026 et le paiement en magasin en 2027 (Banque de France, 2026).
Pourquoi les DSI se sont-elles rendues dépendantes ?
La logique du « best of breed »
Pendant vingt ans, la doctrine dominante dans les directions informatiques des grandes entreprises européennes a été celle du « best of breed » : pour chaque fonction, le meilleur outil du marché mondial, sans considération de provenance. La messagerie ? Office 365. La virtualisation des serveurs ? VMware. Le CRM ? Salesforce. La plateforme de développement ? AWS ou Azure. À chaque fois, l’écart de maturité, d’intégration et de disponibilité des compétences était réel et le DSI qui retenait une alternative européenne moins performante s’exposait à des critiques de ses pairs comme de sa direction générale.
L’accélération du cloud
L’essor du cloud, à partir des années 2010, a durci cette logique en y ajoutant un argument financier imparable : plus de parcs de serveurs à amortir, des capacités élastiques, une réduction du CAPEX, des projets accélérés. Le DSI pouvait se présenter devant son comité exécutif avec des économies mesurables à court terme. La question de long terme sous quelle juridiction tombent nos données, et que se passe-t-il si cet accès s’interrompt ? était rarement posée à l’achat ; et lorsqu’elle l’était, la réponse des fournisseurs (des data centers en Europe, une conformité au RGPD) paraissait suffisante.
Le piège du verrouillage silencieux
Aucune de ces décisions n’était irrationnelle. Leur agrégation, si. Dans les organisations dont l’architecture applicative a été construite nativement dans l’écosystème d’un hyperscaler services managés, bases propriétaires, briques serverless nous constatons sur le terrain que le chiffrage d’une sortie s’approche de celui d’un redéveloppement partiel. Ce coût n’est presque jamais provisionné au moment de la décision initiale. Le piège s’est refermé en douceur.
Comment mesurer la dépendance ? L’Indice de Résilience Numérique
Longtemps, cette dépendance est restée difficile à mesurer, ce qui a contribué à son acceptation silencieuse. Le 26 janvier 2026, lors des premières Rencontres de la souveraineté numérique organisées à Bercy, deux instruments ont été lancés pour y remédier : un Observatoire de la souveraineté numérique, qui cartographie les dépendances à l’échelle macroéconomique, et un Indice de Résilience Numérique (IRN), qui s’adresse directement aux entreprises et mesure leurs dépendances à 360 degrés logiciels, données, infrastructures, compétences, gouvernance, résilience aux chocs. Leur intérêt est de rendre visible ce qui demeurait opaque, à commencer par ces coûts de sortie que les décisions d’achat historiques n’avaient jamais anticipés. Nous reviendrons en seconde partie sur l’usage qu’une organisation peut en faire.
Les 8 piliers de la résilience numérique (Digital Resilience Initiative, 2026)
Les risques majeurs : de l’abstraction géopolitique à la réalité concrète
Le risque économique systémique
Aux États-Unis, un décret présidentiel pourrait interdire aux entreprises américaines de fournir leurs produits et services à l’Union européenne, frappant simultanément plusieurs couches vitales de l’économie numérique du continent. L’hypothèse a cessé d’être théorique le jour où Donald Trump a démontré, face à la Chine comme face aux institutions internationales, sa disposition à utiliser les leviers technologiques comme instruments de politique étrangère. La dépendance est certes réciproque les 264 milliards d’euros dépensés chaque année par les entreprises européennes financent directement l’innovation et l’emploi américains. Mais elle est profondément asymétrique : une rupture serait catastrophique pour l’Europe à court terme, et seulement coûteuse pour les États-Unis.
Le risque financier : quand le fournisseur décide seul du prix
Avant même tout scénario géopolitique extrême, la dépendance expose les organisations européennes à un risque financier immédiat et concret : celui des hausses tarifaires unilatérales. Lorsqu’un fournisseur détient une position monopolistique sur une brique technologique critique, les utilisateurs sont structurellement impuissants face à une révision de sa politique commerciale. L’exemple le plus spectaculaire de ces dernières années est celui de VMware.
Après le rachat de VMware par Broadcom pour 69 milliards de dollars en novembre 2023, l’éditeur a procédé à une refonte radicale de son modèle de licence : suppression des licences perpétuelles, passage obligatoire aux abonnements sur trois ans, bundling (regroupement) forcé de produits et facturation basée sur le nombre de cœurs potentiels plutôt que sur l’usage réel. Le résultat a été fulgurant : les membres du CISPE (Cloud Infrastructure Services Providers in Europe) ont signalé des hausses de prix comprises entre x3 et x10. Des opérateurs cloud européens ont ainsi vu leur EBITDA (Bénéfice avant intérêts, impôts, dépréciation et amortissement) menacé de tomber à zéro, certains contrats en vigueur depuis plus de dix ans ayant été résiliés unilatéralement sans préavis suffisant.
Par ailleurs, en janvier 2026, Broadcom a annoncé la résiliation de son programme Cloud Service Provider en Europe, excluant de facto tous ses partenaires à l’exception d’un groupe restreint choisi à sa discrétion, ce qui a conduit l’association allemande VOICE à déposer plainte auprès de la Commission européenne.
Le verrouillage décrit plus haut prend ici sa forme la plus tangible. La migration de VMware vers des alternatives open source comme Proxmox ou OpenStack est techniquement maîtrisée, mais elle représente un chantier de douze à trente-six mois sur un parc de plusieurs milliers de machines virtuelles, soit, en pratique, plusieurs années pendant lesquelles le fournisseur fixe seul ses conditions.
VMware n’est pas un cas isolé. Microsoft a annoncé une hausse générale de ses tarifs Office à compter de juillet 2026, et les prix du cloud d’AWS et d’Azure ont régulièrement progressé ces dernières années. Le risque est clair : voir les dépenses technologiques européennes croître sans contrepartie ni contrôle, faute de pouvoir basculer rapidement sur des alternatives.
L’affaire de la Cour pénale internationale : quand la dépendance devient concrète
En février 2025, Donald Trump a annoncé des sanctions contre la Cour pénale internationale en réaction aux enquêtes ouvertes contre des responsables israéliens. La suite est instructive, moins par sa brutalité que par son ambiguïté. Selon l’agence Associated Press, le procureur Karim Khan a perdu l’accès à sa messagerie Microsoft et a dû migrer vers Proton Mail, service suisse au chiffrement de bout en bout. Microsoft conteste cette lecture : son président Brad Smith a déclaré publiquement que l’entreprise n’avait à aucun moment cessé ni suspendu ses services à la Cour, tout en reconnaissant avoir « déconnecté » l’agent visé par les sanctions. Des éléments rapportés par la presse néerlandaise suggèrent un scénario plus subtil encore : informée qu’elle devait couper l’accès du procureur sous peine de voir l’ensemble de ses services menacés, la Cour aurait elle-même procédé à la suspension.
Cette querelle de qualification est en réalité le cœur du sujet. Car si ce récit est exact, le « kill switch » n’a même pas eu besoin d’être actionné : il a suffi que la contrainte juridique américaine soit transmise au client pour que celui-ci se coupe lui-même. Aucune clause contractuelle ne protège contre ce mécanisme, précisément parce qu’il ne s’agit techniquement pas d’une rupture de service. Quelques semaines plus tôt, lors d’une visite à Bruxelles, ce même Brad Smith avait promis que son groupe défendrait les intérêts et les données des Européens face aux pressions de Washington. La Cour pénale internationale, elle, a tiré ses conclusions : en novembre 2025, elle a annoncé le remplacement de sa suite bureautique Microsoft par OpenDesk, solution open source livrée par le Centre allemand pour la souveraineté numérique.
L’épisode rappelle une vérité souvent sous-estimée : face à une injonction gouvernementale étrangère, les engagements contractuels d’un fournisseur ne pèsent pas lourd. Ce n’est pas une question de mauvaise foi, c’est une question de droit applicable.
Le CLOUD Act et ses implications
Depuis 2018, le CLOUD Act autorise les agences gouvernementales américaines à exiger l’accès aux données stockées par des fournisseurs américains, quelle que soit leur localisation géographique. Concrètement, AWS peut être légalement contraint de fournir aux autorités américaines des données d’entreprises européennes hébergées dans des data centers situés à Francfort ou Dublin.
Cette loi crée une tension directe avec le cadre européen de protection des données. Les entreprises qui utilisent des services cloud américains se retrouvent dans une situation de contradiction juridique insoluble. C’est dans ce contexte qu’est né le label SecNumCloud de l’ANSSI. Mais les experts sont formels : ce label de cybersécurité n’est pas un label de souveraineté au sens strict. D’ailleurs, si ce label devait certifier une souveraineté stricte, aucun acteur ne pourrait aujourd’hui l’obtenir.
Un câble diplomatique signé par le secrétaire d’État Marco Rubio a par ailleurs ordonné aux diplomates américains de mener un lobbying actif contre les lois européennes de souveraineté des données. La guerre réglementaire est désormais explicite et assumée.
Le risque spécifique de l’intelligence artificielle
L’intelligence artificielle est aujourd’hui le terrain le plus sensible de la souveraineté numérique européenne, pour des raisons qui dépassent les enjeux technologiques habituels.
Une dépendance structurelle dans la chaîne IA
Les GPU et accélérateurs IA sont dominés quasi exclusivement par Nvidia et ses séries Blackwell et Rubin, avec pour challengers AMD et Intel, tous américains. Les start-ups qui cherchent d’autres architectures (Cerebras, Unconventional AI, Oxmiq Labs) sont également américaines. L’Europe est structurellement absente de ce marché, qui constitue pourtant le substrat matériel de toute ambition en IA.
Mais la dépendance ne s’arrête pas au hardware. Les grands modèles de langage dominants GPT d’OpenAI, Gemini de Google, Claude d’Anthropic sont américains. L’entraînement de ces modèles nécessite des capacités de calcul colossales, hébergées sur des infrastructures cloud américaines. Les données d’entraînement, les biais intégrés, les priorités de développement : tout cela se décide outre-Atlantique, selon des logiques et des valeurs qui ne sont pas nécessairement celles de l’Europe.
Concentration de la puissance de calcul IA aux mains des géants américains (EPOCH AI)
Un enjeu de souveraineté cognitive et démocratique
Christophe Grosbost, directeur de la stratégie de l’Innovation Makers Alliance, formule cette dimension de façon radicale : « L’IA est devenue plus stratégique que l’arme nucléaire. Si une nation ne maîtrise pas son IA, elle devient dépendante intellectuellement, économiquement et politiquement. » Un pays qui s’appuie sur des modèles d’IA étrangers pour ses services publics, sa justice, sa santé ou son éducation délègue une partie de sa capacité de décision à des systèmes dont il ne contrôle ni les paramètres, ni les orientations, ni les éventuelles dérives. Les biais algorithmiques ne sont pas neutres.
Les premiers signes de résistance
L’Europe n’est pas sans ressources. Mistral AI, fondée par des chercheurs français, développe des modèles de langage performants et open source qui incarnent une IA “à l’européenne”, transparente et respectueuse du cadre réglementaire. L’entrée d’ASML à son capital, à hauteur de 1,3 milliard d’euros est symboliquement forte. Le programme EuroHPC déploie des supercalculateurs dédiés à la recherche et à l’IA. Et le Conseil européen a modifié en janvier 2026 le règlement EuroHPC pour soutenir la création de gigafabriques d’IA sur le continent.
Ce premier constat met en lumière une réalité simple : la souveraineté numérique ne se décrète pas, elle se construit. La seconde partie, disponible prochainement, présentera les leviers d’action à la disposition des entreprises et des acteurs publics pour réduire leur dépendance et retrouver des marges de manœuvre. Nous y dévoilerons également notre Tech Radar de la souveraineté numérique européenne, afin de vous offrir un aperçu concret des solutions existantes en Europe.
En attendant, retrouvez nos autres articles sur le site du consortium DECeNZ, dont nous faisons partie, ainsi que sur notre blog.
Et pour ne rien manquer de notre actualité et des sujets qui nous tiennent à cœur, suivez-nous sur LinkedIn.
