Commande publique : audition de Microsoft

Bonjour à toutes et tous chers collègues, nous clôturons cette semaine les auditions plinières de notre commission d'enquête avant d'engager la phase de finalisation de nos travaux qui devrait aboutir monsieur le rapporteur à un examen de notre rapport le mardi 1er juillet prochain. Vous serez très prochainement informé des modalités d'organisation et des étapes formelles des travaux àir, je le dis en direction de nos collègues membres de la commission d'enquête. Avant cela, nous poursuivons aujourd'hui l'étude du rôle que la commande publique peut jouer pour promouvoir la souveraineté numérique européenne.

Nous avons reçu ces dernières semaines de nombreux acteurs institutionnels et économiques qui nous ont fait part des risques que fait courir en matière d'hébergement des données publiques le recours à des opérateurs soumis à des législations extraterritoriales. Dans le même temps, le constat de notre adhérence, c'est une citation d'un mot qui a été employé à plusieurs reprises par des personnes auditionnées, voir notre addiction à ces mêmes opérateurs ne fait aucun doute. Nous avions jusqu'à présent entendu des acteurs nationaux de l'informatique en nuage, du cloud et de l'économie de l'économie numérique, pardon en général.

Il nous a semblé indispensable de recevoir l'un des acteurs américains dont le produit, les produits et la position dominante ont été mentionnés à plusieurs reprises et à plusieurs titres lors de nos auditions en matière de fourniture d'outils bureautiques avec Office 365 et d'hébergement des données en cloud avec la solution Azure retenu notamment pour la plateforme des données de santé. Je veux évidemment parler de Microsoft. Nous recevons donc monsieur Antoine Carnot, directeur des affaires publiques et juridiques de Microsoft France et monsieur Pierre Lagarde, directeur technique du service public du secteur public de Microsoft.

Je vous informe que cette audition sera diffusée en direct sur le site du Sénat et fera l'objet d'un contre-rendu publié. Je rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement voire 7 ans en fonction des circonstances. Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité.

Veuillez s'il vous plaît appuyer sur le bouton de vos micros, lever la main droite et dire je le jure, je le jure. Je le jure. Je vous remercie.

Microsoft est un acteur international dont les logiciels et services font partie de notre vie quotidienne. Cette position dominante, mais aussi l'étendue des fonctionnalités offertes et le haut niveau d'interopérabilité atteint ont contribué à le rendre incontournable aujourd'hui dans la sphère publique. Pourtant, en tant qu'entreprise américaine, Microsoft est soumis à diverses législations extraterritoriales qui lui imposent de transmettre les données qu'elle héberge aux autorités sans en informer leur propriétaire.

Je vous prie de bien vouloir m'excuser l'allergie. Avez-vous pris conscience des difficultés que cela peut susciter aux yeux de vos clients privés mais aussi de l'État surtout lorsqu'il s'agit de données sensibles comme celle de la plateforme des données de santé. Pour y remédier, vous avez mis en place un partenariat avec les entreprises Orange et CapG Mini pour offrir vos produits dans un cadre souverain qui bénéficierait de la qualification Sacnum Cloud. qualification qui n'est pas encore attribuée, LANC nous l'a rappelé, c'est le projet bleu.

Pouvez-nous nous en dire plus sur son état d'avancement, ses perspectives de déploiement et surtout son montage juridique, technique et capitalistique permettant à vos solutions d'être dans ces conditions immunes face aux lois extraterritoriales américaines. Des exemples récents ne nous ont pas rassuré en la matière comme l'information selon laquelle votre entreprise aurait à la demande des autorités américaines bloquer l'adresse de messagerie électronique du procureur de la cour pénale internationale. Dans le contexte géopolitique actuel, pourriez-vous être contraint de couper l'accès à vos technologies pour bleu si on vous le demandait de le faire ?

Quelles serait dans ce cas les perspectives d'exploitation ou plutôt de survie de celui-ci ? D'une manière plus générale, vous pourrez nous faire part de l'approche de votre entreprise à l'égard de la commande publique. S'agit-il d'un simple relis de croissance dont vous vous saisissez pleinement ou d'une activité plutôt annexe ?

Je vous laisse maintenant la parole pour un proposiminaire d'une dizaine de minutes. Je vous rappelle que si vous estimez que des éléments qui vous sont demandés sont couverts par le secret des affaires, vous pouvez refuser de les fournir dans le cadre de la présente audition publique. Vous devrez toutefois nous les communiquer par écrit à l'issue de cette audition.

Ensuite, monsieur le rapporteur vous interrogera tout comme les membres de de notre commission d'enquête et je salue en particulier notre collègue Catherine Morin de Sa qui est à Varsovie et exceptionnellement en visoconférence pour une petite incompatibilité d'agenda mais merci à elle d'être avec nous ce matin. Je vous laisse la parole. Merci monsieur le président.

H monsieur le rapporteur, madames, messieurs les sénateurs. Euh donc je vous remercie de nous donner l'opportunité de contribuer à vos travaux. Tout d'abord, on a été présenté donc je suis directeur des affaires publiques et géologiques de Microsoft accompagné de Pierre Lagarde euh directeur technique du secteur public.

Euh je voudrais commencer par vous présenter rapidement l'activité de Microsoft avant d'en exposer certaines spécificités françaises et européenne. Plus en détail. Alors, Microsoft est une entreprise technologique dont la mission est de donner à chaque individu et chaque organisation les moyens de réaliser ses ambitions.

Et pour cela, nous accompagnons la transformation numérique de nos clients secteur privé et secteur public avec différentes solutions. Euh vous l'avez cité la plateforme Azure qui est du sol qui sont des solutions d'informatique en nuage. Il y a également de l'intelligence artificielle avec copilote par exemple, des solutions de cybersécurité également, du matériel informatique lorsque c'est nécessaire et des outils de collaboration comme office.

Elles sont toutes adaptées aux besoins qui sont exprimés par nos clients et bien entendu conforme aux exigences réglementaires françaises. Je voudrais rappeler et je pense que c'est essentiel qu'en amont de la commande publique, il y a un vrai besoin public et ce besoin public bien sûr c'est le gouvernement et l'État plus généralement qui l'exprime qui le définit et le gouvernement l'a exprimé en mars 2024 dans sa feuille de route stratégique pour la décennie numérique avec différents axes renforcer les compétences numériques, déployer les des infrastructures durables, accélérer la transformation numérique des entreprises, moderniser les services publics et cela peut se traduire par des initiatives concrètes. Je vais vous donner quelques exemples Pelmel. la facturation électronique, le guichet unique, l'amélioration du système de santé y compris au travers de la dématérialisation des aspects administratifs, la lutte contre contre la fraude fiscale et peut y contribuer.

Voilà, autant d'initiatives essentielles pour le citoyen qui nécessitent des capacités informatiques extrêmement robustes en matière de stockage, de traitement des données et de protection des données. Et c'est précisément à ces attentes de la commande publique que Microsoft, comme l'ensemble des de son écosystème de partenaire, euh s'efforce de répondre. Concrètement, nous proposons des technologies qui permettent aux entreprises privées comme publique euh comme pardon et à la commande publique euh de choisir librement leur mode de déploiement puisque on offre cette flexibilité.

Je vois que ça a été coupé, je sais pas si je continue. D'accord. Euh cette flexibilité euh s'exprime au travers des différents moyens de déployer des ressources informatiques.

Ça peut être dans des centres de données opérés en propre par nos clients. Euh mais également des clouds communautaires de l'État. On a l'exemple de PI au ministère de l'intérieur.

Euh des capacités informatiques sinon euh en nuage souveraine via l'initiative bleue, vous l'avez cité et j'en dirai quelques mots un peu plus tard. Et bien sûr des capacités informatiques en nuage opéré par nous-même lorsque la nature des données le permet. Donc cette flexibilité garantit aux acheteurs un haut niveau de maîtrise, de sécurité et d'interopérabilité pour la gestion de leur données.

Je voudrais maintenant passer aux spécificités que je voulais mettre en avant. La première, c'est que Microsoft est une entreprise véritablement ancrée en France et dans ses territoires avec un effet d'entraînement important sur l'économie et très soucieuse de contribuer à l'intérêt général. Donc nous sommes en France depuis 40 ans.

Euh aujourd'hui, nous comptons 2200 collaborateurs et nous appuyons sur un écosystème extrêmement solide présent à Paris et en région de 10500 partenaires qui sont des entreprises de service numérique qui sont des éditeurs, des start-ups, des acteurs publics, des académiques aussi et ensemble ils contribuent à faire vivre l'innovation française au quotidien. Pour renforcer nos engagements, nous avons en mai 2000, donc l'année dernière, à Chus France annoncé des investissements extrêmement importants pour montrer et démontrer notre ancrage, à savoir 4 milliards de mobilisés pour développer une infrastructure cloud et à de pointees. Nous nous sommes engagé aussi à former 1 million de français d'ici 2027 aux technologies de l'IA et à accompagner dans leur adoption de l'IA 2500 start-up dans la même période.

Donc, ce sont des investissements majeurs et et qui reflètent notre engagement sur le long terme en France et qui permettront de je je le crois sincèrement, développer une infrastructure cloud et il y a de pointe conformément aux ambitions des politiques publiques et françaises. Alors, à quel titre nous nous avons une empreinte économique forte et un effet d'entraînement réel ? Je l'ai dit hein, nous nous appuyons sur un écosystème important de 10500 partenaires.

Cela va de la TPE au grand groupes en passant par la PME, le TI qui peuvent développer, intégrer ou revendre, distribuer nos solutions au profit de la commande publique et des entreprises privées. Ces 10500 partenaires représentent tout de même 80000 emplois en France et pour chaque euro réalisé par Microsoft, cela génère 6 € de chiffre d'affaires pour l'ensemble de cet écosystème. Nous seons également l'innovation puisque un/art de nos partenaires dépose au moins un brevet sur notre plateforme technologique et depuis 2008, plus de 6000 start-ups et entrepreneurs ont été accompagnés par Microsoft en France.

Nous avons pour cela notamment mis en place des antennes régionales dans des villes importantes comme Nant, Lyon, Marseille, Bordeaux et Toulouse. Ce sont en deux mots, ce sont des carrefours de d'innovation dédié à Lia. Euh et euh en 2024, nous avons accueilli 10000 visiteurs euh PME, ETI et start-up euh et autres partenaires.

Euh et bien entendu, nous accompagnons également les PME dans l'adoption de l'IA. J'étais pas sur la partie IA et mais sur la partie IA, nous accompagnons plus spécifiquement aussi nos nos les PME. Et en 2023, je peux citer un chiffre de 65000 TPE et PME françaises qui ont bénéfié de notre soutien pour intégrer les nouvelles technologies.

Au niveau des partenariats plus technologiques, nous en avons un important qui a été signé en 2024 avec Mistralay que vous connaissez certainement, leader européen des grands modèles de langage. Ce partenaire vise à favoris favoriser pardon l'innovation réciproque, permet aussi l'expansion internationale de Mistral et l'accès des clients Microsoft au grand modèle de langage de Mistral. C'est un exemple he nous avons d'autres partenariats puisque vra Microsoft croit véritablement à la force des partenariats comme valeur d'innovation réciproque et parce qu'ils apportent énormément de valeur et de choix au clients.

Euh voilà, à titre d'exemple, sur notre place de marché, nous avons euh de nombreux modèles de langage tiers, y compris des modèles français qui sont à qui leur permettent de gagner en visibilité sur le marché de l'IN. Du côté de la formation et l'inclusion numérique, nous sommes très engagés. J'ai cité le chiffre d'amion de français qui que l'on ambitionne d'atteindre pour former à former à de d'ici 2027.

Nous l'avons exprimé récemment par un site internet qui permet d'accéder à 200 ressources et qui permet de de personnaliser le parcours de formation en fonction du profil de de la personne qui visite le site. Nous avons des partenariats aussi avec France France travail notamment pour former plus particulièrement les demandeurs d'emploi générative. Nous avons un très beau partenaire aussi depuis de nombreuses années avec Saint-Plom qui est une entreprise sociale et solidaire qui permet de créer un réseau d'école initialement plutôt orienté sur la cybersécurité et depuis quelques années sur l'IA.

Son des formations très intensives et gratu et et avec un accent particulier sur la formation des femmes puisque nous souhaitons augmenter la visibilité et la la représentativité des femmes dans le secteur de la technologie. Autre spécificité importante, c'est notre engagement fort pour la souveraineté numérique européenne et française. Et je voudrais de cette manière un peu répondre à votre question sur qu'est-ce que l'on fait dans ces temps géopolitiques compliqués.

Euh Brad Smith, notre président euh a annoncé à le 30 avril dernier à Bruxelles euh différents engagements très structurants euh pour l'Europe et la France bien entendu euh qui vise un à développer un écosystème d'informatique en nuage EIA de classe mondiale avec un objectif euh d'augmentation de la capacité de nos data centers pardon de nos centres données en Europe de 40 % d'ici 2027. Euh nous sommes déjà très présents et donc c'est un gros effort. Euh deuxièmement, garantir la résilience numérique du continent.

Troisièmement, protéger à tout prix l'intégrité des données de nos clients. Quatrièmement, renforcer la cybersécurité. Et 5èmement, soutenir la compétitivité et l'innovation ouverte en Europe.

J'ai utilisé la notion d'innovation ouverte pour désigner l'open source en anglais. Voilà, plus particulièrement sur la question de cybersécurité, le 4 juin dernier, on a lancé un programme et c'est Brad Smith qui l'a fait, un programme européen de sécurité qui est mis gratuitement à disposition des États-membres avec un accent très fort notamment sur le partage accru de renseignement sur les menaces de certains états hostiles via uneutilisation de l'IA. Et pourquoi est-ce que nous allons aussi loin en matière de cybersécurité ?

C'est un pilier important parce qu'au-delà des enjeux de souveraineté qui sont bien entendu extrêmement importants, notre priorité est d'assurer le meilleur niveau de cybersécurité aux utilisateurs des outils Microsoft, y compris bien entendu dans le cadre d'une commande publique. Voilà quelques exemples peut-être de la façon dont nous apportons une protection de données renforcée à nos clients. Nous avons depuis 3 ans énormément investi dans un un modèle où au-delà du stockage en Europe des données des clients, on on les traite aussi exclusivement en Europe, sauf demande contraire explicite du client.

Deuxième exemple intéressant, ce qu'on appelle le confidential computing qui qui permet qui est une solution qui permet de protéger les données en cours d'usage et pas seulement au repos ou en transit. Et Microsoft ne peut absolument pas accéder à ces données, sauf autorisation expresse du client. et bleu que vous avez cité.

Euh ce que je peux vous dire c'est que c'est une entreprise totalement indépendante de Microsoft qui a été créée donc comme vous l'avez dit par CAP Géini et Orange. Nous sommes fournisseur technologique et nous avons mis en place un système qu'on pourra écrire peut-être au plan technique qui permet de séparer ce ce cette informatique en nuage de notre informatique en nuage pour les protéger de tout effet extraterritorial plus la couche juridique qui est le fait qu'on ne soit pas présent au capital de cette entreprise. Voilà, avant de répondre à vos questions, je voulais partager une conviction profonde qui est que la confiance se gagne sur des années par un travail constant, un travail patient, mais elle peut se perdre en quelques jours voire en quelques secondes.

Et et si Microsoft aujourd'hui est un une entreprise importante dans le monde, si elle est leader en France, c'est parce que nous considérons cette confiance comme notre trésor le plus précieux et elle nous oblige et et jamais nous nrions en danger pour un par un comportement qui ne serait pas conforme aux lois ou aux bonnes pratiques pour gagner un contrat dans un pays donné. Donc respecter les règles et protéger les données de nos clients, c'est clairement pour nous pas du tout une option. C'est une obligation et une politique d'entreprise et j'espère que ce proposinaire et les questions et les réponses que nous apporterons à vos questions, pardon, vous en convaincront.

Je vous remercie monsieur le rapporteur. Oui, monsieur explication qui nous rassure, mais j'aurais 10 questions à vous poser assez précises en reprenant un peu ce qui a été dit en préambule. En février 2025, Microsoft a suspendu l'accès au service de Claude à de la Cour pénale internale de la en réponse à des sanctions américaines paralysant une instion internationale basée en Europe.

Comment justifiez-vous cette décision alors que Microsoft et vous l'affirmez vous l'avez affirmé est censé protéger des données souveraines numériques. Cela ne prouve-t-il pas que Microsoft privilégera par le cloud act toujours les injections américaines à ses engagements envers ses clients européens y compris les françaises ? Merci monsieur le rapporteur.

Donc le cas de la Cour pé internationale. Donc vous avez pu lire dans la presse que nous avions coupé les services mais c'est faux. Nous n'avons jamais suspendu ni coupé les services de la Cour internationale.

Donc voilà ce que je peux dire aujourd'hui sousement. Euh donc voilà, le la bulle la bulle de la presse a a contribué à à faire croire cette idée-là, mais ce n'est pas le cas. Euh voilà et nous avons discuté avec la Cour pénale internationale depuis le début euh pour trouver une solution et mais ça ne s'est pas traduit par une action de notre part de coupure ou de suspension des services euh de la Cour pénale internationale.

Pardon. Ma deè question simplement juste pour bien comprendre, vous dites ça ne s'est pas traduit par une suspension, ça s'est traduit par un acte en particulier qui bien qui n'est pas de notre fait. D'accord.

Mais dans l'exécution duquelle vous avez été impliqué ou pas ? Non, nous avons juste discuté avec la Cour pénale internationale et nous n'avons pas coupé physiquement les accès de la Cour internationale. Voilà ce que je peux vous dire.

D'accord. Mais au-delà de ça, vous n'êtes pas intervenu en aucune manière. Non, juste dans un dialogue avec la Cour pénédale internationale, mais pas techniquement.

Euh Microsoft est soumis au clou act qui permet aux d'accéder aux données stockées en Europe. Comment pouvez-vous garantir bien dit un petit peu dans vos propos préliminaires avec des preuves concrètes que les données des publiques françaises gérées via les contrats de l'UGAP ne seront jamais transmises autoramites sur injonction bien sûr si oui quel mécanisme technique vous en avez parlé un petit peu juridique précis empêche cet accès. Alors, d'un point de vue juridique, donc nous engageons contractuellement vis-à-vis de nos clients et bien sûr dans les nos clients, il y a aussi le le secteur public à résister à des types à ces demandes lorsqu'elles ne sont pas fondées.

Et nous avons un système très rigoureux en place qu'on a initié sous l'Air Obama et et en agissant en justice pour obtenir ce ce des des concessions de la part du gouvernement américain. Et notre processus consiste à d'une part analyser très précisément la validité d'une demande, de la rajeter si on estime qu'elle est fondé, de demander à ce qu'elle soit réorientée vers le client autant que possible. Lorsque la conclusion c'est que ce n'est pas possible de le réorienter vers le client, nous répondons dans des cas extrêmement précis et limités.

Le gouvernement ne peut pas faire des demandes qui ne sont pas définies précisément avec un scope étroit. Et dernier dernière étape euh si euh il y a aussi des aspects techniques que je te laisserai développer mais aussi il est important aussi de de dire que si jamais nous devons communiquer, nous demandons aussi à pouvoir notifier le client qui est concerné. Voilà.

Et en terme et ce ce système marche très bien puisque depuis environ 3 ans, nous publions deux fois par an des rapports de transparence qui partagent dans le monde entier des statistiques sur les cas dans lesquels auquels nous avons été confrontés. Et si vous regardez ces rapports, ils indiquent que depuis 3 ans, il n'y a eu aucune demande affectant une entreprise européenne dans ce cadre là. Vous avez parlé fondé ou non fondé, c'est-à-dire j'ai bah disons que sous l'Air Obama au début en tout cas ça pouvait être des demandes très larges, mal définies, pas très bien expliqué juridiquement et donc petit à petit nous avons obtenu en allant jusqu'à la Cour suprême que tout cela soit beaucoup plus cadré, précis, justifié, fondé juridiquement.

Donc au cas où c bien cadré, vous deviez transmettre des données. Quand c'est bien cadré, quand c'est une demande bien précise, vous vous êtes obligé de transmettre. Après tout ce processus mis en place, tout à fait.

Mais encore une fois, ça n'a pas affecté aucune ça n'a affecté aucune entreprise européenne depuis que nous publions ces rapports de transparence. Et dans l'entreprise européenne, pardon, je mets aussi le secteur public sûr. Et pour vous répondre sur la partie technique, pareil dans nos engagements contractuels, nous chiffrons les données au repos.

Donc quand ils sont dans les data centers de Microsoft et en transit, quand ils y vont et quand ils transitent dans les différents data centers euh avec des clés de chiffrement et pareil, nous avons un engagement contractuel sur le fait que ces clés de chiffrement ne sont données à aucune entité. L'Opan Data Protection Supervisor a constaté en 2025 2024 pardon que Microsoft 365 violait le règlement européen 2018 1725 en transférant des données aux Union européenne sans garantie adéquate. Comment Microsoft pense peut-il assurer à nos administrations qui achètent des services toujours via Lugab que leur données personnelles seront protégées ?

Vous en az parlé en partie mais je vous repose cette question dans ce contexte là. Avant de te laisser la parole, je voudrais juste préciser que le texte auquel vous faites référence n'est pas le même que le RGPD. C'est un texte différent dont la philosophie est la même mais qui a des nuan il y a des nuances qui peuvent expliquer ce ce cette position de cette autorité.

Euh mais je te pour la suite. Donc ce qu'on a fait c'est que depuis 3 ans en fait on a mis en place euh tout un environnement technique pour euh justement réduire au maximum ce transfert de données et les conserver sur le sol européen. C'est un c'est des travaux qu'on a commencé donc comme j'ai dit depuis 3 ans et depuis qu'on a finalisé en janvier 2025 et maintenant dans nos contrat donc c'est une garantie contractuelle sur le fait que les données de nos clients européens ne sortent pas de l'Union européenne.

Donc pareil au repos, en transit, en traitement, même toutes les données qui sont générées par des logs applicatifs et même pour la partie support. Donc ça c'est des travaux qu'on a démarré d' 3 ans. Donc c'est des travaux qui sont importants côté Microsoft pour justement sécuriser et minimiser ces transferts technique.

D'accord. Euh une question plus financière. Il est il établit que les contrats de l'UGAP avec Microsoft passent par Microsoft Airland.

Pouvez-vous confirmer si toutes les facturations et les données des administrations françaises transitent par l'Irlande qui fait quand même aigé en terme de fiscalité. Si oui, comment cela respecte-t-il la souveraineté numérique française, sachant que ces données qui transitent par Irlande peuvent être aussi soumis au clou act ? Alors sur la partie technique, on reste en Union européenne.

Donc c'est vraiment on est exactement sur les mêmes scénarios que j'ai cité juste avant pour sur la partie technique. Donc là-dessus, il faut savoir que aujourd'hui sur la partie vraiment locale française, aujourd'hui les clients français peuvent choisir des services qui vont être stockés et traités en France. Après, il existe d'autres services qui sont à périmètre technique européen, mais euh au niveau de M365, si on le cite pour la partie collaborative, euh on peut demander que les services soient stockés en France et traités en France.

Et pour la partie financière, c'est l'UGAP qui demande à ce soit facturé en Irlande ou c'est vous qui le demandez parce qu'il y a quand même un manque à gagner pour la distanction française en terme de TVA. Alors, je suis surpris par ce que vous dites parce que pour nous, bah tous nos marchés, on les facture en France et on ne facture pas directement les clients publics, on facture nos distributeurs qui eux-mêmes revendent à à l'UGAP ou enfin via l'UGAP pardon à des acteurs publics et et tout le revenu est donc localisé en France sur le sol français. Vous pourrez nous enlever tous les éléments éventuellement ?

Bien sûr, on vous enverra une note. Oui, je vais me permettre simplement une petite question complémentaire sur les les clés de chiffrement euh parce que il a été porté à notre connaissance qu'a priori Microsoft dans le cadre du programme Prism aurait communiqué la clé de chiffrement Outlook à la NSA. Euh est-ce que vous nous confirmez euh ces éléments ?

Je n'ai pas l'information sur ça donc je peux pas vous répondre si jamais vous pouviez à l'issue de cette audition nous dire précisément ce qu'il en était. Merci. Par avance.

Bien entendu. Vous nous avez rassuré à moitié par le la solution Blue puisque bien sûr on a Microsoft et Cap Gini. Euh vous confirmez que vous n'êtes pas du tout au capital d'une manière ni d'une autre.

Aucunement. D'accord. Euh donc j'en parlé euh Microsoft et s'est engagé juridiquement contre toute demande inappropriée aux données européennes.

Ça vous l'avez confirmé. Est-ce que en cas d'une injonction fondée américaine vous êtes tenu de données ? Si la conclusion de tout ce processus que je vous ai décrit est queon est obligé de les donner, on les donnera.

Encore une fois, ça n'est pas arrivé. D'accord. Question et j'arrêterai là.

En tant que directeur des affaires politiques, pardon publique et juridiques, vous représentez Microsoft France auprès des 6eurs publics. Êtes-vous personnellement prêt à garantir sous serment de cette commission que les données français confié à Mistof via l'UGAP ne seront jamais transmises à des sociétés étrangères sans l'accord explicite des autorés françaises ? Sinon, comment expliquez-vous cela ?

Juste pour bien comprendre à des sociétés étrangères, vous avez dit non sous injonction sous injonction de enfin du gouvernement américain que ces données françaises confiées à Microsoft par l'UGAP ne seront jamais transmises à des étrangères c'est surtout dans le contexte actuel plutôt américaine sans l'accord explicite des autorités françaises. Non comme je vous l'ai dit je peux pas le garantir mais aujourd'hui ça n'est pas arrivé. Et euh question là aussi complémentaire avant de de passer la parole au aux collègues.

J'espère que madame Morin de CI est toujours connecté avec nous. Vous évoquiez tout à l'heure vos rapports en matière de transparence, mais nous sommes bien d'accord qu'il s'agit d'une démarche purement déclarative et qu'en l'occurrence figure dans ces rapports de transparence les éléments que vous souhaitez bien y faire figurer, qu'en réalité il n'y a pas de contrôle extérieur qui permettent de d'attester la réalité de ces faits. C'est comme sur les demandes de transmission de données.

En l'occurrence, vous dites que vous prenez ces initiatives et et nous pouvons éventuellement accepter n'y croire. Mais si vous décidiez de n'informer vos clients français qu'une fois sur deux ou une fois sur tro n'auraient aucune possibilité de de savoir précisément ce qu'il en est. Ça vous pouvez nous le confirmer, c'est de vos propres chefs, on l'entend.

Mais encore une fois, nous notre préoccupation de pouvoir garantir euh le respect total euh à l'égard des législations extraterritoriales. Donc vous nous dites que vous mettez en place l'initiative, on peut l'entendre, mais euh il n'y a pas de garantie hors votre bonne foi de la mise en place de de ces systèmes de façon systématique. Non, c'est une question tout à fait légitime, monsieur le président, mais je vous répondrai que dans ces rapports, vous trouverez des des cas où nous admettons que nous avons dû communiquer des données, mais ça n'a pas affecté l'Europe à ce jour concernant les entreprises, mais dans le monde, il y a d'autres situations où c'est arrivé et donc ce serait étonnant que on ne on biaise en quelque sorte les résultats juste pour l'Europe.

Donc ça c'est une première réponse que je peux vous donner pour vous rassurer. La deuxième, elle est elle est plus encore une fois à notre modèle et c'est c'est vraiment de créer de la confiance chez nos clients. Si ce genre de chos est su, la confiance serait totalement rompue et les années et des années de construction de cette confiance serai mis à bas.

Et peut-être tout à l'heure ce que j'avais commencé, mais il y a aussi du coup nos investissements depuis plus de 4 ans sur le projet bleu qui permet justement d'avoir cette autonomie complète côté bleu et du coup cette garantie à 100 % puisque encore une fois bleu est est une société à 100 % française. Oui. Or la technologie on est bien d'accord parce que c'est vous qui la fournissez.

Donc beaucoup de personnes que nous avons pu interroger nous ont confirmé que si pour une raison ou pour une autre les liens technologique était coupé assez rapidement la solution pourrait devenir obsolète en l'absence de de mise à jour d'actualisation. Donc il y a on l'a bien entendu les garanties apportées sur le plan capitalistique et a priori sur la protection des données, mais sur la technologie qui est mise en œuvre. De fait, c'est là aussi votre rôle.

Vous défendez vos vos intérêts, c'est bien normal. Mais quand même une fragilité qui a été reconnue par l'ensemble des acteurs. Si d'aventure, pour une raison ou pour une autre, les liens venaient à être rompus ou provisoirement arrêtés.

Un petit commentaire là-dessus. Aujourd'hui, l'empilage technologique de l'ensemble des acteurs de l'informatique dans le nuage ont pour partie des acteurs américains. Donc c'est quelque chose aujourd'hui qui est un état de fait.

Donc euh effectivement, bleu aura euh une dépendance avec une pile technologique de Microsoft qui est euh je pense importante un tout petit peu à rappeler euh parce que euh je sais que vous en aviez parlé dans certaines commissions. Euh on n'est pas sur juste une infrastructure, on est aussi sur d'une plateforme et aussi sur du logiciel. on est sur quelque chose qui est extrêmement large techniquement et qui va offrir euh une solution moderne en fait à euh sous cette euh on va dire cette bulle souveraine.

Et euh c'est ça qui va permettre aussi de créer des projets ambitieux euh pour l'État, pour nos start-up euh pour fournir justement cette solution moderne. Et il y a une partie qui est effectivement technologie Microsoft, il y a aussi une partie qui est en open source. On est et on reste un très gros contributeur aujourd'en source sur nos solutions cloud.

Et c'est ça, je pense qu'il faut prendre aussi un peu dans sa globalité pour répondre à ce type de question. Et euh et aussi euh il y a une vous l'aviez posé dans le propos introductif et du coup je souhaite peut-être en répondre à ce moment-là. Il y a vraiment une séparation technologique complète aujourd'hui de la solution bleue par rapport aux solutions cl publique de Microsoft.

Je voudrais juste Oui. Mais quand vous dites séparation technologique complète, on est bien d'accord que bien entendu hein les éléments relatifs à le à l'open source, mais il y a malgré tout et c'est bien compréhensible des briques technologiques qui sont de fait propriété de de Microsoft. Si sinon le dispositif n'aurait pas été présenté de cette façon-là.

Alors, nous fournissons la technologie et le centre de données qui est opéré par bleu, qui sera opéré par bleu sera la propriété de bleu. Après, il y a la question des mises à jour et on a entendu dans certaines auditions certaines personnes direent que s'il y avait une coupure suite à une décision du gouvernement américain, très vite le cloud ne serait plus opérationnel. Ce n'est pas vrai.

Ça ne se fera pas en quelques jours. Certainement pas. Je sais pas si tu peux compléter sur cette partie là.

Non, c'est c'est sûr que c'est pas quelques jours ça peut durer très longtemps. Ce qui va être plutôt important équôt quelques semaines, quelques mois. Enfin, c'était du tout.

Il y a aucune raison que ça coupe. Le système tourne comme aujourd'hui. Toute solution qui est dans un data center qui n'est qui est hébergé dans une entreprise va tourner tant que la solution évidemment est alimentée, je dirais en électricité et en et en courant.

Non mais en l'occurrence on on parlait de la solution enfin pour moi c'était assez clair la solution technologique donc qui va au-delà de simplement les l'hébergement des données sur la partie hébergement physique je peux partager ce que ce que vous dites ici mais la solution bleue elle est bien plus large que ce simple hébergement des données. Nous sommes bien d'accord làdus d'accord et une fois que ça tourne ça tourne jusqu'à temps qu'on éteigne le la lumière. Enfin, j'ai je schématise, mais on est vraiment là-dessus.

Par contre, ce qui est important, c'est est-ce que on sera à jour au niveau sécurité, au niveau fonctionnel ? Et c'est ça aujourd'hui où on a fait aussi quelques annonces sur ces sujets pour mettre à disposition nos codes dans un environnement dans un coffre fort qui sera en Suisse pour justement peut-être permettre cette continuité dans ces cas extrêmes. Après, on a des retours aussi, enfin, je pense à la solution Teams he par exemple euh où très clairement alors c'est à priori pour des raisons de sécurité, mais malgré tout quand vous dites tant qu'il y a de l'électricité, euh on le voit notamment sur quels que soient les systèmes d'exploitation, bah il arrive un moment où comment dire la solution ne peut plus être mise en œuvre. on a eu des retours très concrets là en l'occurrence pas d'entreprise mais y compris de de particuliers ou de petites structures.

Donc le prétexte semble-t-il qui peut s'entendre par Microsoft et celui de la sécurité mais il n'empêche que dans le cas très concret qui nous a été remonté la solution Teams en tout cas dans sa partie application ne fonctionnait plus. Alors, je serais très intéressé de connaître ce scénario et je pense que ça fait aussi partie, enfin c'est pas que je pense, ça fait partie des travaux de l'équipe de bleu pour justement s'assurer et je pense que c'est aussi ce qui va être audité par LENC pour s'assurer de cette déconnexion complète et c'est je pense c'est tout l'enjeu technologique qui est derrière. Donc ce scénario là ne doit pas arriver évidemment.

Est-ce que madame Maurin de Sailli parce que je sais qu'elle peut avoir quelques contraintes, est-ce que vous nous entendez chers collègues ? Ah non, c'est bon. Alors, en attendant de pouvoir récupérer la connexion, monsieur Ruel, on a vu qu'il s'était passé des choses avec le Danemark, Copenhag et Arus qui ont qui abandonnent progressivement leur relation avec Microsoft.

Quelles sont les quelles sont les raisons invoquées ? Je n'ai pas suivi ce dossier de près. Je ne peux pas vous répondre là à l'instant donc précis parce que les raisons invoquées enfin ce qu'on a ce qu'on en a compris hein des raisons financières et et géopolitiques.

Donc géopolitique on on revient à nos problématiques de souveraineté des données. Donc ça serait peut-être intéressant qu'on puisse avoir quelques informations làdessus. Attendez.

Après euh euh là on a 65 % des dépenses cloud de l'État français hein euh qui se qui se concentre actuellement sur des solutions certifiées secum cloud. Mais euh bon donc on a ça coexiste avec une grande utilisation de de Microsoft. Euh donc comment comment ça se passe quoi ?

Je pense que c'est il y a il y a un élément qui est important à avoir aujourd'hui dans nos clients particulièrement dans le secteur public. Il y a euh tout un euh historique euh de Microsoft comme on l'a dit en introduction, ça fait 40 ans qu'on est présent. Et en fait euh nous avons toute une gamme de solutions logicielles qui s'installent évidemment dans les data center de nos clients comme on l'a dit dans les data center de des différents ministères qui utilise cette solution logicielle qui n'est pas une solution cloud. donc qui est complètement immunie aux lois extraterritoriales puisque elle est opérée par les différents ministères.

Donc euh je sais pas si ça répond exactement à votre question mais aujourd'hui le panel d'offre de Microsoft reste aujourd'hui très important sur les clients du secteur public sur cette offre logicielle historique. Vous avez passé quelques commandes évidemment sur des offres secting cloud aussi. Donc c'est ce panel là qui répond aujourd'hui à l'ensemble des besoins, je pense du secteur public français et demain avec la mise à disposition de de bleu permettra justement d'ouvrir dans des environnements comme j'ai dit tout à l'heure modernes pour justement répondre à des enjeux de projet ambitieux de l'État sur des solutions numériques.

Est-ce que ça répond à votre question ? Donc madame Morin de Sei nous a confirmé qu'elle n'avait pas de question en l'état, qu'elle avait plutôt obtenu ses réponses ou l'absorce de de réponse au sujet de préoccupation qui sont les siens. Monsieur le monsieur le rapporteur de de votre côté, ben écoutez, les éléments semblent bien établis pour chacun des collègues présents.

Nous vous remercions messieurs pour vos réponses. Nous attendons évidemment dans les meilleurs délais avant la fin de cette semaine les éléments complémentaires que nous avons pu solliciter et puis si vous souhaitiez d'aventure nous apporter des éclairages complémentaires, c'est laissé à votre libre appréciation mais dans une contrainte calendaire très particulière puisque là nous arrivons à la fin de nos travaux donc véritablement avant la fin de cette semaine. Merci messieurs.

Merci beaucoup. Merci. Merci pour votre écoute. [Musique]