Google, Amazon et Microsoft sont auditionnés sur la souveraineté numérique de la France - 13/05/2026

Nous poursuivons les auditions de la commission d'enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et des risques pour l'indépendance de la France. Et nous recevons aujourd'hui les représentants en France des géants du numérique, les GFAM. Pour Amazon, monsieur Julien Lpine, représentant en France d'Amazon Web Services Europe Moyen-Orient Afrique et monsieur Arnaud David, directeur des affaires publiques France et Union européenne d'AWS.

Pour Google, monsieur Sébastien Misof Missof, pardon, directeur général de Google France et monsieur Frédéric Géot de l'Escase directeur des affaires publiques de Google Cloud. Et pour Microsoft, madame Corine de Bilbao, présidente de Microsoft France et monsieur Philippe Limantour, directeur technologie et cybersécurité. Madames, messieurs, je vous remercie de vous être rendu disponible et je vous souhaite la bienvenue dans cette commission d'enquête.

à vous trois à L3, les entreprises AWS, Microsoft Azure et Google Cloud représentent 70 % du marché européen du cloud. Comment les données hébergées sont-elles protégées ? Comment sont-elles exploitées ?

Autant de questions qui vont faire l'objet d'un centre de questions dans cette commission d'enquête. Je vais vous laisser la parole pour un proposinaire d'une dizaine de minutes chacun. Vous pourrez nous présenter vos entreprises respectives au niveau mondial européen et l'activité réalisée en France.

Au pralable, je vous remercie de nous déclarer tout intérêt public ou privé de nature a influencer vos déclarations. Nous pourrons ensuite échanger sous forme de questions-réponse. Auparavant, [grognement] je vous rappelle que l'article 6 de l'ordonnance du 17 novembre 1958 relatif au fonctionnement des assemblées parlementaires impose aux personnes auditionnées par une commission d'enquête de prêter serment de dire la vérité, toute la vérité, rien que la vérité.

Je vais donc vous inviter chacun pardon à tour de rôle à lever la main droite et à dire je le jure madame je vous propose de commencer. Merci. Merci beaucoup.

Je vous propose de prendre la parole dans l'ordre que vous souhaiterez. Soit et ben on commence par Microsoft. Très bien, monsieur le président, madame la rapporteur, mesdames et messieurs les députés, je voudrais commencer ce propos liminaire en vous remerciant sincèrement de nous donner l'occasion de contribuer à vos travaux.

Les questions que vous examinez sont légitimes, elles sont importantes et complexes et ce sont des échanges comme celui-ci avec la représentation nationale qui nous permett d'apporter des réponses factuelles et opérationnelles aux questions que les enjeux de souveraineté, le contexte géopolitique suscitent. La réalité, c'est que ces questions, nous les avons également avec nos clients. Elles ont d'ailleurs conduit Microsoft à prendre des engagements concrets visant à renforcer la continuité des services, la protection des données et la résilience numérique en Europe.

En tant que président de Microsoft France que j'ai rejoint en 2021, je porte une attention constante à ces enjeux car dans notre industrie, la confiance constitue un fondement essentiel. Le numérique comme toute chaîne de valeur stratégique repose sur un ensemble d'interdépendances des miner critiques et infrastructures énergétiques jusqu'au centre de données, aux capacités de calcul, au modèle d'IA ou encore au logiciel. Aussi, l'enjeu réside-til aujourd'hui dans l'organisation et la gouvernance de ces interdépendances et les garanties concrètes apportées par les différents acteurs de cette chaîne qui permettent de les maîtriser.

Microsoft est présent en France depuis plus de 40 ans. Notre entreprise compte aujourd'hui près de 2200 collaborateurs en France. La réalité de notre présence ne se résume d'ailleurs pas à nos seuls effectifs.

Microsoft est en effet un moteur de la filière des services informatique et des logiciels grâce à la constitution d'un écosystème de 10500 partenaires qui représentent 80000 emplois répartis sur l'ensemble du territoire. Notre modèle en France est avant tout un modèle de plateforme et de partenariat. Nous intervenons comme fournisseur de technologie avec une logique de collaboration, de complémentarité, de partage de valeur sans nous substituer à nos clients.

Aujourd'hui, pour 1 € de solution et de services facturés par Microsoft en France, les partenaires génèrent près de 6 € de chiffre d'affaires. Cet effet multiplicateur illustre le rôle d'entraînement que peut jouer notre présence dans l'économie numérique française. Par exemple, s'agissant du secteur public, Microsoft ne répond pas en direct aux procédures de passation des marchés publics.

Ce sont les revendeurs, intégrateurs et prestataires qui se positionnent sur ces consultations dans le respect du droit de la commande publique. Notre présence en France se traduit également par des investissements concrets. En 2024, nous avons annoncé un investissement de 4 milliards d'euros pour développer des infrastructures de cloud et d'intelligence artificielle de pointe, former 1 million de français aux usages de l'IA et accompagner 2500 start-up dans cette nouvelle économie.

Je voudrais maintenant revenir sur un point important, le modèle de l'économie du cloud. Nos technologies ne sont jamais simplement posées sur étagère. Elles doivent être intégrées, configurées et opérées pour répondre aux besoins de nos clients.

Ce travail est dans une très large mesure réalisée par des acteurs français dont de nombreuses PME. Dans cette économie du cloud, Microsoft a depuis longtemps fait le choix de l'ouverture. Notre plateforme de cloud public Azure n'est pas une infrastructure propriétaire fermée.

Nos clients peuvent choisir librement parmi un grand nombre d'options, propriétaires ou open source pour les serveurs, les bases de données ou encore les réseaux. Ainsi, environ 2/3 des machines virtuelles de nos clients sur Azure exécutent Linux. Dans le domaine de LIA, nous appliquons les mêmes principes.

Notre infrastructure Azure propose un catalogue de plus de 11000 modèles comprenant des offres de Mistral, d'open et ou encore l'ensemble des modèles open source de Gin Face. Je souhaite maintenant dire un mot sur la protection des données qui est au cœur de la relation de confiance avec nos clients et qui repose sur des garanties concrètes, des contrats, des protections techniques et lorsque c'est nécessaire la capacité de défendre nos clients devant les tribunaux. En premier, le Microsoft conteste systématiquement les demandes d'accès aux données de ses clients en Europe comme dans le reste du monde.

Il me paraît important d'ailleurs de rappeler ce que le Cloud permet et ce qu'il ne permet pas. Le Clarc n'autorise pas un accès automatique, massif ou non ciblé aux données des clients. Bien au contraire, toute demande d'accès à des données de contenu nécessite l'intervention d'un juge sur la base d'une cause probable que les données demandées contiennent des preuves d'un crime grave et spécifique relevant la juridiction américaine, un acte de terrorisme ou de pédocriminalité par exemple.

Je souhaite rappeler que Microsoft n'accorde en aucun cas aux autorités un accès général ou illimité aux données de ses clients. L'entreprise ne communique ni les clés de chiffrement de ses clients, ni aucun moyen permettant de contourner les mécanismes de protection et conteste toute demande imprécise, excessive ou en conflit avec le droit d'un autre pays. Je tiens également à préciser que Microsoft n'a jamais divulgué de données d'un client du secteur public français à des autorités étrangères, y compris américaines.

Ces garanties juridiques s'inscrivent dans une logique plus large de convergence entre État démocratique en matière de protection des citoyens contre les crimes les plus graves. Ainsi, l'Union européenne a adopté en 2023 le règlement e-vidence qui permet à une autorité d'un Étatmembre d'ordonner directement un prestataire de cloud de produire ou de conserver des preuves électroniques quel que soit le lieu où se trouvent les données. Mais pour aller plus loin, laissez-moi vous parler des engagements de Microsoft pour la protection des données de ses utilisateurs.

Tout d'abord, en premier, le RGPD qui a constitué un jalon majeur que nous avons choisi d'étendre au niveau mondial. Deuxièmement, au-delà de ce cadre juridique, nous avons mis en place en Europe des garanties opérationnelles supplémentaires. Notre initiative EU Data Bundary ou Union Frontière européenne des données finalisé en 2025 fait en sorte que les données des clients sont localisées et traitées au sein de l'Union européenne et de l'association européenne de libre échange.

Troisièmement, en cohérence avec ce modèle, Microsoft s'engage par ailleurs contractuellement à ne pas utiliser les données de ses clients entreprises et du secteur public à des fins publicitaire ni en tirer des informations à des fins commerciales. Ce n'est pas notre modèle économique. Je voudrais maintenant vous parler plus en détail de souveraineté.

Les exigences en matière de souveraineté opérationnelle varient bien sûr d'un pays à l'autre et même d'un client à l'autre. Nous nous conformons systématiquement à la législation des États dans lesquels nous opérons. Tout d'abord, nos contrats et nos clients européens prévoient expressément notre engagement à respecter le droit de l'Union européenne dans tous les cas et sans exception.

Deuxièmement, depuis près d'un an, nos offres de cloud proposent des fonctionnalités renforcées de protection, de confidentialité des données, de chiffrement, permettant à nos clients de déployer nos solutions dans des configurations adaptées à leur contraintte opérationnelle, y compris dans des environnements totalement déconnectés et y compris pour les modèles d'IA. Enfin, la confiance passe aussi par des dispositifs concrets de transparence et de coopération à les autorités publiques. En France, cette coopération est engagée depuis le début des années 2000 avec lancie.

Partage d'information sur les menaces, échange technique avec nos équipes d'ingénering et accès sécurisé en lecture seule à une sélection de code source. Enfin, la France s'est dé cadre protecteur pour les données les plus sensibles matérialisé par la qualification Singum Cloud de LAN. Comme vous le savez, c'est dans ce cadre qu'Orange et Cap Gémini ont conjointement créé Bleu.

Bleu est un cloud français sécurisé opéré par une entité de droit français totalement indépendante de Microsoft. Dans ce cadre, Microsoft est seulement fournisseur technologique sans lien capitalistique ni contrôle opérationnel. Les services cloud bleus sont physiquement déconnectés du cloud public de Microsoft.

Enfin, en partenariat des acteurs européens, nous développons des dispositifs de continuité pour assurer la disponibilité des services essentiels dans toutes les situations. Je souhaite enfin et c'est mon dernier point, revenir sur le sujet majeur de la cybersécurité. C'est une dimension centrale de toute la réflexion sur les dépendances numériques.

D'après notre rapport annuel de cybersécurité, la France se classe au 4e rang des pays les plus attaqués en Europe. Les services publics critiques sont particulièrement ciblés par les cybercriminels. La lutte contre la cybercriminalité repose sur une coopération étroite entre les acteurs publics et privés.

Microsoft partage ainsi des informations détaillées sur l'état de la menace avec la France afin de contribuer à la protection des infrastructures critiques. La résilience des services numériques signifie aussi la capacité à protéger physiquement les infrastructures. En 2022, nous avons pu alerter les autorités ukrainiennes des risques de destruction de leurs infrastructures informatiques et organiser le transfert de leurs données et services critiques vers des data center situés en Europe.

En conclusion, et c'est ma conclusion, je souhaite évoquer une piste de réflexion que je crois utile. Aucun état ni aucune entité ne pourront seul maîtriser l'intégralité de la chaîne de valeur de l'intelligence artificielle. Cette chaîne de valeur, elle est trop vaste, trop intensive en capital, en talent, en recherche, en infrastructure et en cybersécurité pour être concentré durablement dans un seul pays.

Cela signifie que la chaîne de valeur de l'IA reposera sur des interdépendances fortes à la fois technologiques, industriel et géographique. La France dispose à cet égard de nombreux atouts, d'excellentes entreprises dans le développement de modèles tels que Mistral, des acteurs innovants dans les applications d'IA, des équipes de recherche de premier plan ainsi que des compétences fortes dans l'évaluation, la cybersécurité et l'intégration de ces technologies dans l'économie. C'est peut-être dans cet esprit d'ouverture que l'on peut essayer de contribuer de manière utile aux questions de dépendance, de résilience et de capacité d'action qui sont au cœur de vos travaux.

Je vous remercie de votre écoute et je me tiens à votre disposition pour répondre à vos questions. Merci beaucoup. Je propose qu'on fasse dans l'ordre et que on passe la parole à Google.

Merci beaucoup monsieur le président, madame la rapporteur, mesdames et messieurs les députés, nous vous remercions de votre invitation sur ce sujet important au cœur de vos préoccupations et de celles des françaises et des Français. Nous saisissons pleinement l'importance du travail de cette commission d'enquête dans un contexte géopolitique, source de tension et d'inquiétude, inquiétude très légitime de notre point de vue. Je vais vous partager brièvement le point de vue de Google et mon collègue Frédéric Gerot répondra sur les questions spécifiques au cloud avec des solutions pratiques et responsables sur lesquelles nous travaillons notamment avec nos partenaires locaux comme Talè pour la partie informatique en nuage. que représente Google en France.

Alors, nous sommes un peu plus jeunes, nous n'existions pas il y a 40 ans, mais nous avons ouvert notre premier bureau à Paris il y a 22 ans, 2004. Il y avait à peu près 700 employés quand j'ai pris la direction de Google France en 2017, nous sommes à peu près 1350. Aujourd'hui, on a quasiment doublé les effectifs sur ces 9 dernières années.

La mission de Google est de rendre l'information accessible et utile pour tous. Et nous prenons très au sérieux cette mission qui est au cœur de notre engagement. C'est ainsi que nos collaborateurs représentent la majorité des activités clé de l'entreprise aujourd'hui marketing, cloud, ingénierie, recherche, partenariat.

Nos équipes accompagnent nos clients et nos utilisateurs pour leur permettre de tirer pleinement partie des technologies numériques. C'est dans ce cadre que nous avons délié des partenariats étroits avec des entreprises françaises pour contribuer à leur compétitivité. Nous travaillons avec des grands groupes industriels français, par exemple sur des jumeaux numériques afin d'améliorer la sécurité de leurs produits ou de lancer des produits plus rapidement et donc de contribuer à leur compétitivité.

Nous travaillons aussi avec des start-ups pour les aider à se développer à l'international et contribuer à leur tour, à leur compétitivité et à développer des champions internationaux depuis la France. Nous avons enfin des activités de recherche sur l'intelligence artificielle symbolisé par l'ouverture en février 2024 d'un nouveau centre d'intelligence à Paris qui compte un peu plus de 300 personnes aujourd'hui et un certain nombre de collaborations dont une avec l'Institut Curry sur des recherches de prédiction du cancer. Les discussions d'aujourd'hui concernent plus spécifiquement une des parties de Google qui est la partie Google Cloud Platform connue sous le nom de GCP qui est un des derniers entrants sur le marché de l'informatique en nuage.

Selon le dernier rapport de l'Autorité de la concurrence que vous avez pris en référence pour vos travaux que nous avons reçu. GCP le 5e acteur du marché de l'informatique en nuage en France avec moins 10 % de part de marché derrière AWS, Microsoft, Orange Business Service et OVH. Les trois acteurs qui sont présents aujourd'hui représentent donc trois choix technologiques différents, trois positions de marché et trois stratégies différentes.

Nous différencier est utile par construction compte tenu de notre position de marché. Nous sommes toujours favorables à toute action qui puisse fluidifier et ouvrir ce marché. C'est un marché toujours en expansion notamment en France où l'adoption des technologies en nuage se fait plus lentement que dans le reste de l'Union européenne.

Côté secteur public, marché UGAP, chiffre de la DINUM, le top 10 des fournisseurs de l'État. Vous ne trouverez pas de trace de Google. Nous avons que très peu de parts de marché dans le secteur public, ce qui nous donne la capacité d'avoir une approche différente car nous ne sommes pas dans un contexte où nous essayons juste de conserver des parts de marché.

Google croit en un cloud au service de l'économie française qui tient sa promesse initiale. Une promesse d'ouverture, une promesse de sécurité, d'élasticité, de simplicité et surtout une grande liberté de choix pour le client, notamment pour tester de nouvelles fonctionnalités et innovations. Google se différencie aussi grâce à des services basés sur des technologies open source.

Nous sommes connus pour cela. Vous avez parlé de de sécurité qui est évidemment un des enjeux et en terme de sécurité et de localisation des données, nous offrons déjà la capacité pour tous nos clients de choisir librement le type de contrôle requis et la localisation de leurs données. Enfin, sur l'impact environnemental, nos ingénieurs travaillent constamment à l'amélioration de l'efficacité énergétique de nos solutions qui est aussi notre intérêt économique.

En 2024, nos centres de données ont fourni six fois plus de puissance de calcul par unité d'électricité que 5 ans auparavant. Nos centres de données ont utilisé 84 % moins d'énergie que la moyenne du secteur et nous investissons aussi sur des énergies propres. Google a ainsi signé plus de 4,5 GW d'accord en Europe ces dernières années, notamment avec des partenariats avec NGJ.

Nous produisons enfin nos propres puces. Donc chaque génération, on l'a annoncé récemment avec la 8e génération, apporte des gains considérables. Vous l'aurez compris, c'est un mouvement d'amélioration euh en continu et je vais passer maintenant la parole à Frédéric Gerot qui va rentrer plus en détail sur des éléments de Google Cloud.

Merci beaucoup Sébastien, monsieur le président, madame la rapporteur, mesdames et messieurs les députés, merci de votre invitation. Le sujet de nos dépendances et vulnérabilité numérique n'est pas seulement une question technique. C'est une question à la fois de sécurité nationale, de prospérité économique, de compétitivité, notamment au travers de la liberté de choix.

Tout le monde a des dépendances, Google comme les autres. Il n'y a de notre point de vue qu'un seul véritable sujet de dépendance sur le marché du cloud, c'est la monoculture. Frain à l'adoption du multicloud et frein à plus d'interopérabilité, de sécurité, de portabilité, bref de liberté de choix de son fournisseur.

Une monoculture contrainte est souvent déloyale. Nombre de vos auditions ont déjà fortement souligné ce sujet. Nous parlons du vendor lookin, c'est-à-dire des pratiques d'enfermement juridique des clients issues des pratiques déloyales des acteurs présents avant l'arrivée de l'internet grand public.

Nous en souffrons comme tous les autres acteurs du marché. Il est important que la commission sache que ce combat vieux de plus de 10 ans, fut d'abord celui de VH et de l'ensemble des cloudeurs européens de toute taille rassemblés au sein de l'organisation 6P. Puis ce fut celui du SIGF, l'organisation des DSI français notamment lors du débat sur la loi Senn.

Aucun acteur, petit, moyen ou grand, ne pourra grandir sur ce marché tant que ne cesseront pas ses pratiques anticoncurrentielles. Un client doit pouvoir quitter son fournisseur, sinon le jeu est faussé. L'autorité de la concurrence britannique s'est emparé de ce sujet.

Leurs travaux sont exemplaires. Deuxème mot clé de cette commission, vulnérabilité et son pendant résilience. Il y a 5 ans, en 2021, avec la publication de la doctrine Cloud Centre et le Prima du Secnum Cloud, nous avons intégré que sur le segment des données sensibles, nous ne pourrions tout simplement plus exister car de nationalité et de capital, nous sommes américains.

Le SECNUM Cloud par construction ne peut pas être pour nous. Cela ne fait pas plaisir d'être exclu du marché des données sensibles. Nous en avons pris acte avec deux convictions fortes.

Notre première conviction, c'est que nous devons respecter nos utilisateurs. Eux seuls sont à même de définir leurs besoins, de savoir ce qu'ils veulent. À nous, Google Cloud de trouver une solution pour leur répondre.

Autrement dit, Google Cloud offrira toujours le choix. Deuxième forte conviction, la France comme n'importe quel autre pays ne doit pas avoir à choisir entre l'innovation de pointe et son autonomie stratégique, ce que certains nomment souveraineté. Chez Google Cloud, nous pensons que la dépendance n'est pas une fatalité.

Nous avons notamment des solutions déjà existantes et fonctionnelles, y compris des solutions entièrement déconnectées avec de l'intelligence artificielle. Solutions dites dans une bulle d'air qui ont beaucoup de succès notamment pour la défense et les services financiers. Nous avons aussi apporté nos technologies à une autre offre du marché qui répond aux questions de vulnérabilité et de protection aux lois extraterritoriales.

Vous la connaissez sous le nom commercial de Prémiance, opéré et contrôlée par une co-entreprise nommée administrativement Tales Cloud sécurisé que vous connaissez sous la marque Sens. Talè est le seul maître à bord de sens. Google Cloud ne dispose que d'un siège d'observateurs sans droit de vote ni droit de vetau.

Cette offre prémiance est qualifié secum cloud depuis décembre dernier sur trois segments : l'infrastructure, les plateformes et les containers. Il n'y a pas la partie logicielle à la demande dite SAS software à service où se situe notamment les suites collaboratives. Une place de marché SAS se crée sous nos yeux sur sens avec de belles synergies en cours.

D'ailleurs, le plus gros fournisseur de services SAS européens et allemand SAP ne s'y est pas trompé. Ils viennent sur car sens existe pour de vrai. Il existe donc déjà plusieurs solutions à la question de la vulnérabilité grâce à la vision anticipatrice et au travail rigoureux et méticuleux lancé il y a près de 15 ans par les équipes de LANC.

Sens a pris le meilleur des deux mondes. Sens est la seule offre Secnum Cloud hyper échelle. La seule offre qualifiée avec un catalogue de service bientôt aussi large qu'un hypersceller dont des solutions d'intelligence artificielle.

C'est son avantage le plus connu. Mais sans est aussi déjà résilient à l'arrivée du poste quantique car Talè est un champion mondial des algorithmes résilients au quantique. Sens c'est un avantage stratégique à la main de Talè dont le premier actionnaire est l'État.

Sens ne cache d'ailleurs pas son ambition de devenir le premier hypercaleur européen. En France, cela fait 25 ans qu'on entend le désir d'avoir un champion français de taille européenne. Nous y sommes.

Et ce champion français est européen capable de concurrencer les hyperscalers. Il ne vient pas de l'informatique ni des télécom, il vient de la défense. LANC l'a dit, il n'y a pas d'offre 100 % française.

Cela n'existe pas. Lancy a aussi dit ne pas faire de politique industrielle. On notera qu'elle peut tout de même l'orienter.

Vous avez depuis décembre dernier un champion européen de la défense et de la cybersécurité avec des équipes d'ingénieurs massives en France et de haute qualité avec ses propres infrastructures, ses propres centres de données, avec ses propres lignes de production de matériel. Ici, Talè recrute beaucoup en France. Tales apprend à faire du cloud avec Google, à faire de l'intelligence artificielle aussi.

C'est une aventure industrielle où seul Tales décide. Sans profite également de la recherche et développement de Google Cloud sans en supporter le coût. On parle de milliards en recherche et développement.

Le directeur général de l'ANC vous a souligné ce bénéfice dans son audition pour Talaise d'abord probablement aussi pour de nombreux autres services de l'État. Il a fallu 5 ans et c'est long avant de pouvoir sortir une solution fonctionnelle. C'est un travail titanesque qu'a réalisé les ingénieurs de Talès.

Ils ont fait qualifier une trentaine de services et ont reçu la qualification. Secum Cloud pour 3 ans sans aucune réserve de LANC. Un travail remarquable des équipes Talè Essence.

Le risque que nous nous avons pris c'est celui de transmettre nos technologies et nos savoir-faires à sens qui est dans les faits un nouvel offreur de service cloud donc un concurrent des hyperscalers. Pourquoi cela a pris 5 ans ? Car les référentiels ANC ne sont pas légers.

L'ANC a utilisé devant vous l'expression dispositif lourd. C'est un 12 féminisme. Nous avons pu observer de près le parcours de sens pour obtenir la qualification, un véritable parcours du combattant.

Il faut bien se rendre compte de la prouesse technologique. Sens est aujourd'hui unique au monde car le Secn Cloud est unique au monde. Sens reçoit depuis peu des appels du monde entier.

La France a un avantage stratégique avec sens, un avantage également européen. La Commission européenne a déjà retenu sens pour ses propres besoins sensibles au sein d'un consortium. Pour conclure, le risque n'est pas d'utiliser les meilleures technologies mondiales, le risque est de s'en priver.

Vous l'aurez compris, pour nous, le cloud, c'est d'abord une question de liberté de choix, notamment de choix d'architecture logicielle dite ouvertes, mais aussi de gouvernance et des conditions juridiques vous permettant de quitter votre fournisseur. Bref, ne pas être enfermé. Encore faut-il trouver le bon partenaire qui accepte de le faire selon vos conditions, de jouer selon vos règles.

Bref, ne pas être enfermé. y compris pardon de vous laisser partir. Je vous remercie de votre écoute.

Merci beaucoup pour AWS. Je vous cède la parole. Merci monsieur le président, madame la rapporteur, mesdames et messieurs les députés.

Je vous remercie de nous donner l'occasion de contribuer à vos travaux sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique. Avant de partager nos observations, permettez-moi de vous présenter brièvement qui nous sommes et ce que nous faisons. Amazon Web Services, que je désignerai par l'acronyme AWS est une entreprise fournissant des services d'infrastructure cloud aux organisations publiques et privées pour les aider à innover tout en protégeant leurs données.

Cette année, nous célébrons nos 20 ans et l'année prochaine les 10 ans de nos premiers centres de données en France. AWS compte aujourd'hui près de 900 salariés présents sur le territoire. Le métier d'AWS est de fournir des ressources informatiques à la demande avec une tarification à l'usage.

Concrètement, nos clients disposent avec AWS d'un large choix technologique de plus de 200 services, une centaine de modèles d'intelligence artificielle dont ceux de Mistral et des dizaines de milliers de solutions logicielles partenaires via notre place de marché. Ils n'utilisent que ce dont ils ont besoin quand ils en ont besoin. J'ai eu la chance de rejoindre à WS en 2012 alors que l'entreprise débutait son implantation en France.

En tant qu'ingénieur formé en France, j'ai saisi l'opportunité de pouvoir faire bénéficier à toute la filière technologique française les outils, la sécurité et l'innovation apportée par le cloud. Je souhaite partager avec vous trois convictions qui guident notre action en France. Premièrement, nous sommes fiers de contribuer au développement des entreprises françaises de toute taille.

Depuis 20 ans, notre mission est de donner au PME les mêmes moyens technologiques que les grands groupes pour innover et se développer. Deuxièmement, nous sommes convaincus que le cloud AWS permet d'offrir à tous les clients français un niveau de sécurité des données qu'il ne pourrai atteindre seul. Face à l'explosion des cybermenaces, le cloud constitue aujourd'hui la meilleure réponse pour protéger les données des organisations publiques et privées.

Troisièmement, nous pensons que les entreprises françaises ne devraient pas avoir à choisir entre innovation et souveraineté numérique. Il faut garantir les deux. C'est précisément ce que nous permettons.

Depuis sa création, AWS a accompagné des champions français et européens pour devenir des leaders mondiaux, que ce soit dans le transport, la gestion de flux financiers ou la recherche. Ces entreprises ont créé des milliers d'emplois en France, développé des innovations majeures, généré des milliards d'euros de recettes, réinvesti dans l'économie française et surtout elles ont changé la vie quotidienne et professionnelle des Français. Lorsque nous avons ouvert nos infrastructures en France en 2017, nous avons établi un plan d'investissement sur 15 ans d'un montant de 6 milliards d'euros pour soutenir la compétitivité des entreprises françaises.

La majorité de ces investissements irriguent directement le tissu économique français. Construction, raccordement, installation et exploitation partagée de centres de données en partenariat avec des entreprises locales. La semaine dernière, Amazon a annoncé son plus grand investissement jamais réalisé en France. plus de 15 milliards d'euros sur 3 ans créant 7000 emplois permanents.

Les investissements d'AWS s'inscrivent naturellement dans l'ancrage d'Amazon en France. Toutes activités confondues, logistique, distribution, médias et technologie. Depuis 2010, ce sont plus de 30 milliards d'euros investis et plus de 25000 emplois permanents créés sur le territoire au service de l'économie française.

Notre modèle d'affaires repose sur des centaines de partenaires qui créent de la valeur au plus près de nos clients tels que Devotim, Soprasteria, Athosviden ou encore Kiro. Ces partenaires conçoivent les solutions, accompagnent les transformations numériques et créent de l'emploi sur le territoire. Comme toute entreprise technologique de taille mondiale, AWS s'appuie sur une chaîne d'approvisionnement global.

À ce titre, nous développons et utilisons des technologies conçues en Europe tout en les diffusant dans le monde d'entier. Certaines de nos technologies de pointe comme Nitro, notre système de sécurité matérielle garantissant qu'aucun opérateur d'AWS ne puisse accéder aux données des clients sont conçus dans nos centres de RD en Europe, notalement en Allemagne. Les serveurs équipant nos centres de données en Europe sont assemblés, réparés et recyclés en Irlande aujourd'hui et bientôt en Espagne.

Notre puissance de calcul repose sur des fournisseurs de solutions de semi-conducteurs avancés comme cell de ST Microlectroni, leader franco-européen avec lequel nous [raclement de gorge] venons de conclure un partenariat stratégique. Ceci réflète une réalité fondamentale. La chaîne de valeur technologique est mondiale et interdépendante.

Les fournisseurs de cloud et DIIA dépendent de fournisseurs de puce informatique, de routeurs, de serveurs, de disques situés en Europe et en dehors. Ce qui importe, c'est d'encourager l'utilisation des technologies innovantes tout en préservant la liberté de choix technologique. Celle qui permet à chaque organisation de sélectionner les solutions les plus adaptées à ses besoins.

Ces investissements et ses partenariats visent précisément à répondre aux vulnérabilités que votre commission examine. La plus urgente de loin, c'est la cybersécurité. Le paysage des menaces n'a jamais été aussi critique et les PME en restent les premières victimes.

Les organisations qui migrent vers le cloud bénéficient d'un niveau de protection qu'elle ne pourrait atteindre seul. chiffrement avancé, détection et correction automatisé des anomalies et redondance permettant la restauration rapide des systèmes en cas d'attaque. La sécurité est notre priorité et AWS protège des millions de clients actifs dans le monde.

Notre infrastructure de sécurité analyse chaque jour 400000 milliards de flux réseaux et détecte 182000 nouveaux domaines malveillants. En 2025, nous avons bloqué plus de 300 millions de tentatives de ranongiciel. C'est ce traitement de la sécurité de la cybersécurité à l'échelle qui rend le cloud plus sûr qu'une infrastructure isolée.

Le principe fondamental de la résilience est de ne pas concentrer les données en un seul endroit. Nos centres de données sont répartis sur 39 zones géographiques et nos clients choisissent où ils souhaitent stocker leurs données. C'est cette distribution qui protège contre les menaces modernes, qu'elles soient géopolitique, environnementale ou technique.

L'Ukraine, en est la démonstration, en février 2022, dans les heures suivant l'invasion, nous avons aidé le gouvernement ukrainien à sécuriser plus de 10 pétactés de 42 autorités gouvernementales pour ne plus dépendre de centres de données isolés, menacés de destruction. L'architecture cloud a permis de mettre ses données hors de portée des frappes en quelques heures, tout en permettant au gouvernement de continuer à exercer ces mission les plus critiques. Comme nous l'avons rappelé, le cloud offre le meilleur niveau de protection pour les données.

Les organisations publiques et privées peuvent bénéficier d'un niveau de protection supérieur en ayant retour au cloud, leur permettant de prévenir, détecter et remédier aux cyberattaques. Le cloud WS répond déjà aux besoins de la majorité de ses organisations grâce à son infrastructure située en France pour celle soumise à des exigences de souveraineté supplémentaire notamment en matière de localisation des données, d'autonomie opérationnelle ou de conformité réglementaire. Nous avons lancé en janvier dernier le cloud souverain européen d'AWS.

Il s'agit d'un nouveau cloud indépendant pour l'Europe, physiquement et opérationnellement isolé des autres infrastructures AWS, mais qui propose pour autant plus de 100 services cloud innovants, y compris d'intelligence artificielle. Tout ce qui est nécessaire au fonctionnement du cloud souverain européen d'Aws se trouve dans l'Union européenne. Les talents, la technologie, les infrastructures et la gouvernance.

Aucun contrôle opérationnel ne s'exerce depuis l'extérieur des frontières européennes. Les opérations quotidiennes telles que l'accès au centre de données, le support technique et le service client sont assurés exclusivement par du personnel européen. Ce nouveau cloud d'WS bénéficie d'une autonomie de fonctionnement même si l'Europe devait être coupée du reste du monde.

En définitive, l'enjeu tel que nous le voyons n'est pas de choisir entre souveraineté et innovation, c'est de garantir les deux. Aujourd'hui, le cloud ne représente que 20 % de l'inf de l'informatique des organisations publiques et privées. Cela fin signifie que 80 % des systèmes d'information restent sur des infrastructures traditionnelles, souvent moins sécurisées, moins résilientes ou moins agile.

Il est donc impératif d'encourager l'adoption du cloud par les organisations publiques et privées pour leur permettre d'innover plus rapidement, de se transformer, de rivaliser à l'échelle mondiale tout en protégeant leurs données contre les menaces. C'est en migrant vers le cloud que les organisations accèdent aux meilleurs outils de cyber de sécurité, pardon, et c'est en garantissant la sécurité et la souveraineté que l'on crée la confiance nécessaire à cette adoption. C'est pour relever ce double défi qu' s'engage en France par nos investissements à long terme, notre technologie, nos partenaires sur le territoire et des solutions adaptées aux exigences les plus strictes.

Pardon. Je vous remercie de votre attention et me tiens ainsi que mon collègue Arnaud David à votre disposition pour répondre à vos questions. Merci beaucoup.

Euh avant de passer la parole au à la rapporteur et et aux collègues qui sont présents en salle pour aller sur le fond des choses, j'auraai des questions formelles à vous poser [grognement] euh qui sont d'abord liées à Microsoft mais qui sont valables pour les pour les trois euh entreprises. Euh lors d'une audition au Sénat, euh un de des représentants de Microsoft avait prêté serment [grognement] et il se trouve qu'il a été licencié quelques jours après. La question que je me pose, c'est quelle quelle valeur vous accordez entre prêter serment et perdre son emploi ?

Ça a une valeur importante pour nous ici dans la commission d'enquête parce que si vous répondez la vérité et que vous faites licencier, ça peut influer sur vos sur vos sur vos déclarations. Donc c'est aussi pour ça que je vous ai posé la question de savoir s'il y avait des des freins ou des des des choses de toute qui puissent influencer sur vos sur vos déclarations. Donc je re je je veux pas vous demander de répondre par oui ou par non, mais je tiens à vous rappeler que vous avez prêté serment et que ce que je vais vous demander, c'est de nous dire la vérité.

Deuxième chose, c'est sur cette fameuse question qui avait été posée au Sénat, votre patron a expliqué que c'était une réponse stupide à une question stupide. La question c'est quel type de parlementaires sont les parlementaires français ? Ils sont moins bons ou sont meilleurs que les Américains ?

Je prends la parole en premier. Donc euh bon, tout d'abord pour pour être très très clair euh euh le le départ de monsieur Antoine Carni puisque je pense que c'est un à cette à lui que vous faites référence n'a strictement rien à voir. Voilà, donc ça n'a aucun absolument aucun lien.

En ce qui concerne euh les sujets évoqués par la commission, c'est des sujets qui sont extrêmement importants pour nous. preuve en est euh l'ensemble des annonces et des investissements qui ont été faits au niveau européen sur tous ces sujets-là, en particulier euh sur la protection des données, je l'ai rappelé dans mes propos liminaires, mais aussi les engagements contractuels qui ont été pris en terme de résilience notamment des administrations publiques et des acteurs d'infrastructure et de services critiques, engagement contractuel. Euh ça c'est c'est le 2uxè point.

Nous avons aussi bien évidemment pris un certain nombre d'engagements en ce qui concerne la cybersécurité et l'accompagnement des États. Donc c'est des sujets qui sont très très importants. Et pour revenir à à à mes propos liminaires sur le sujet du Cloud Act, il est évident que c'est c'est quelque chose qui est de plus en plus important et au cours des derniers mois, c'est aussi des questions qui sont posées systématiquement par nos clients.

Il n'y a pas de J'ai rappelé ce que le cloud permettait de faire et de pas faire. Chaque demande, elle est doit être faite par un juge que nous étudions et nous l'étudions avec des des juges enfin des des juristes américains et des juristes européens. Euh nous respectons le droit international don notamment le comité qui euh qui voilà ben met en balance aussi les droits des différents états.

Les demandes sont transmises au clients et on a un engagement contractuel de contester toute demande devant les tribunaux. Donc je voulais je voulais rappeler ça parce que je pense que c'était important pour vos travaux. Merci.

C'est pas tout à fait ma ma réponse ma question et votre réponse ne je vous la reposerai différemment, mais la la sortie de votre président nous pose une question à nous parlementaires français de savoir si nos questions sont stupides. Et donc la question, elle est très claire, c'est si on vous demande l'accès à des données et je ne parle pas du cloud, je vais parler du FISA 702, est-ce que vous donnez oui non ces informations aux agences fédérales qui vous les demandent ? Deuxième question qui va avec, donc je vais vous demander un oui ou un non à chacun des des chacune des entités.

Vous aurez le droit de de détailler un tout petit peu mais on va pas y passer non plus 25 ans parce que c'est une question qui a déjà été posée mais j'aimerais bien que les autres puissent y répondre. La deuxième c'est [grognement] Marco Rubio a envoyé un câble diplomatique disant qu'il fallait s'opposer à toute tentative de réglementation européenne parce que c'était un problème pour les entreprises notamment technologique. Est-ce que vous appliquez ce câble diplomatique ?

Est-ce que vous faites des opérations de lobbing contre la réglementation européenne ? Et dernière question, le président Trump a demandé à ce qu'il n'y ait plus de charte de la diversité dans les entreprises américaines. Il l'a rappelé un d'entreprises françaises qui travaillaient aux États-Unis et d'entreprises européennes qui travaillaient aux États-Unis.

Est-ce que vous appliquez à ce titrelà la réglementation américaine ou la réglementation européenne ou française ? Est-ce que vous désobéissez à vos président Trump quand il a demandé à vos patrons qu'ils l'ont accepté de ne plus appliquer les chartes de diversité ? Ça peut ne pas être Microsoft en premier hein, mais j'ai besoin d'une réponse de chacun d'entre vous sur ce sujet, sur ces sujet.

Hop, euh je vais Merci pour votre question. [grognement] Euh donc, quelle valeur a notre parole et comment on sent qu' était la première question que vous aviez posé tout à l'heure ? Enfin, en tout cas, je peux parler en en mon nom propre, je me sens tout à fait supporté par mon entreprise et vos questions sont des questions tout à fait pertinentes et légitime.

Je reviens sur le sujet de la souveraineté qui est effectivement la la question importante. C'est un enjeu vital pour la France et c'est un enjeu qui est compris par les entreprises. Alors, je parle pour AWS particulièrement, c'est un enjeu important pour nous.

C'est un des fondamentaux euh de la création de de notre plateforme et la raison pour laquelle on fait et on va le faire par des réponses technologiques pour je pense qu'on y reviendra plus tard dans différentes questions aussi des enjeux de process enjeux de gouvernance et c'est ce qui a mené sur les 20 dernières années à la création des infrastructures et des offres telles qu'elles sont maintenant jusqu'à la création de l'offre de cloud souverain européen. Pour la partie FISA, je laisserai je laisserai mon collègue Arnaud Arnaud David répondre. Euh je voulais parler de la diversité.

Amazon d'un point de vue général est une entreprise qui travaille avec des clients qui sont dans l'ensemble des pays qui représentent toutes les religions, toutes les origine, toutes les manières de travailler. Fondamentalement dans la manière de travailler de l'entreprise, on ne peut pas se permettre d'avoir une entreprise qui ne s'adresse pas à ses clients. C'est une valeur fondamentale de l'entreprise l'obsession client, avoir la capacité à comprendre nos clients.

Si on n pas une entreprise qui travaille et qui reflète la diversité de nos clients, nous ne serons pas capables d'y répondre. Je peux parler plus spécifiquement pour la France. Euh nous travaillons euh sur un ensemble d'initiatives.

Nous publions euh comme c'est euh demander d'ailleurs au niveau du droit français le gender equality index par exemple au niveau de la France. Et donc nous avons beaucoup d'activités qui sont faites aussi pour la diversité. Nous sommes une entreprise en l'occurrence pour la pour la pour la circuselle la succurselle que je représente qui est une entreprise européenne.

Donc nous avons des politiques et des manières de travailler qui sont effectivement européennes. Je laisse répondre pour Fer sur le câble diplomatique de monsieur Roubiot. C'est vous c'est votre collègue qui répondait ?

Ça va être pardon. Je veux bien que vous reprécisiez la question sur le câble diplomatique que je n'ai pas eu en entier. Je vais peut-être commencer par la dernière question euh sur ce point de deux éléments de réponse.

Euh le premier euh qui est un élément assez factuel, comme vous le savez peut-être, nous publions de manière semi-annuelle des rapports de transparence sur les demandes qui nous sont adressées. Euh et dans ces dans ces rapports là, donc qui concernent tout le type de pays, on a un élément qui est très précis et très factuel à la fin dans chaque rapport et je serai ravi de vous les communiquer par écrit si vous le souhaitez. euh où on indique qu'aucune demande adressée à Amazon Web Services n'a fait l'objet d'une communication au gouvernement américain de données appartenant à des entreprises ou à des gouvernements situés en dehors des États-Unis.

Et ce c'est marqué clairement dans ce rapport. Euh une des raisons pour laquelle on marque ça clairement dans le rapport, c'est que euh il y a un principe qui est important et qui est d'ailleurs sous-jacent dans énormément euh de lois euh euh et les lois auxquelles vous avez référence, c'est que dans ce cadre-là euh on ne peut euh communiquer une donnée sur la base sur une base légale qu'à partir du moment où techniquement on peut y avoir accès. Et on a un certain nombre de technologies peut-être qu'on y reviendra plus tard qui ne permettent pas d'accéder aux données des clients.

Alors ça répond pas sur la question du câble. Donc je vais préciser la question sur le sur sur le FISA. Ça veut dire que vous intégrez dans le rapport les demandes qui sont assorties d'une demande de secret de la part des des agences fédérales.

C'est tout tout type de demande. Sur le câble de Marco Rubio, c'était de s'opposer à toute tentative de réglementation complémentaire européenne, voire même de combattre les réglementations européennes déjà existantes, RGPD entre autres. Alors sur ces éléments-là, on a une depuis très longtemps d'ailleurs contribué à un certain nombre de travaux dans plusieurs pays européens et au niveau européen également qui démontre que on a mis en place des mécanismes très avancés notamment en matière de protection des données en collaboration d'ailleurs avec beaucoup d'entreprises du secteur notamment je pense au code de protection des données dans le cloud qui a été un des premiers euh à ma connaissance d'ailleurs euh un des deux seuls codes qui a été validé par les 27 autorités de protection des données en Europe.

On a fait l'objet même très récemment pour prendre notre exemple d'une collaboration avec l'Office de l'IA de la Commission européenne pour le premier code de pratique pour la mise en œuvre de l'IA Act. Nous, de manière générale, on soutient les réglementations européennes pour autant effectivement qu'elle soit basée sur une approche par les risques, ce qui le cas du RGPD d'ailleurs ou même de l'ICT qui est un des principes fondateurs de l'ICT et qu'elle garantissent en même temps la possibilité pour nos clients d'innover. Merci pour Google.

Merci monsieur le président. Euh concernant le législateur ici parlementaire présent dans cette salle ou partout ailleurs dans le monde, nous les respectons et nous sommes nous venons devant eux pour dire la vérité, pour que les choses soient dites euh ici comme ailleurs sur euh le câble diplomatique de Marco Rubio. Nous sommes un acteur économique, nous faisons avancer nos sujets.

Nous ne sommes pas des agents gouvernementaux pour que ce soit dit aussi sur la partie lobbying influence représentation d'intérêt que ce soit comme c'est le cas ici aujourd'hui devant vous ou au niveau européen. D'abord nous faisons ça de manière très déclarée. En France, il y a la HA TVP, mais on est aussi déclaré pour nos activités au niveau bruxellois et l'activité de représentér représentant d'intérêt d'un acteur privé et bien de faire valoir ces arguments pour éclairer le débat au moment où la loi ou le règlement se crée.

Donc nous avons des équipes dites d'affaires publiques ou de public policy et nous demandons des rendez-vous. Tout ça est quand même très transparent et nous avons des contrôles sur nos déclarations. Nous pouvons donner plus de précision si vous le souhaitez, mais vous avez notamment la taille du budget que nous y consacrons, le nombre de gens que nous y consacrons et les thématiques en tout cas à côté français sont assez clairs ligne par ligne, action par action sur les sujets que nous nous abordons et même les positions que nous défendons sur la partie FISA.

Et comme vous l'avez souligné, il y a une partie où le cadre réglementaire américain ne nous permet pas, nous entreprises américaines, de communiquer dessus. Donc vous trouverez dans notre rapport de transparence des fourchettes assez vagues qui sont de l'ordre de 500 et il se trouve que les équipes françaises n'ont pas connaissance d'autres détails que ces fourchettes très vagues. Merci.

Sur la diversité, pardonnez-moi, j'ai aussi le point sur la diversité. Nous n'avons nous sur la question de la diversité, nous n'avons absolument pas modifié euh euh nos nos engagements, notamment le soutien à un certain nombre d'actions et d'initiatives parce que nous pensons que notre diversité est une force. Merci pour Microsoft.

Bon, en ce qui me concerne, je je confirme ce qu'on dit les autres entreprises. Nous parlons en toute transparence et en complet voilà en complète transparence sur l'ensemble des sujets de vos questions. Bien évidemment, en ce qui concerne euh comme je l'ai rappelé, le cloud act des demandes qui sont faites via des juges et nous aussi on a un rapport de transparence.

Euh ce rapport de transparence, il est publié, on vous le communiquera bien évidemment aussi, qui recense l'ensemble des euh l'ensemble des demandes qui ont été faites. Euh c'est quand on parle de euh quand on parle de cloudout et de FISA, on a aussi il y a aussi d'autres réglementations qui sont euh en Europe mais aussi euh au niveau français. En Europe, c'est le Y evidence.

Et ça c'est sur des bases de demandes qui sont faites sur des sujets de criminalité, de cybercriminalité ou de ou de comme je l'ai indiquer d'autres d'autres sujets de criminalité. Nous n'avons jamais communiqué euh de données d'administration publique européenne. C'est dans notre rapport. vous pourrez vous pourrez le consulter et on vous on vous le fera parvenir.

Euh on a les mêmes euh en conteste systématiquement devant les tribunaux, on a pris les engagements contractuels de le faire et ça c'est valable pour le le cloud ou le FISA. Alors après, je suis pas une spécialiste peut-être sur les nuances, mais ça se on vous communiquera ça. En ce qui concerne la deuxième question sur la partie réglementation, nous avons adopté le RGPD, voilà, dès dès le début, on l'a même étendu au niveau mondial.

Donc l'application du RGPD, elle est non seulement en France, en Europe, mais au niveau mondial. Et euh et bien évidemment, nous sommes une entreprise mondiale euh et donc qui opérons sur l'ensemble des pays. Donc bien évidemment, on se conforme à la réglementation de l'ensemble des pays.

Euh on contribue à à ces discussions et on applique l'ensemble des réglementations qui sont euh qui sont décidées. Enfin, en ce qui concerne la diversité, ça fait vraiment partie des des valeurs de Microsoft. Ça fait partie de notre mission hein, permettre à chacun de réaliser ses ambitions.

Nos programmes de diversité sont toujours très, je veux dire, très dynamique. Si je peux vous donner l'exemple, en France, j'ai six programmes de diversité, pas seulement sur la diversité de genre, mais le handicap, la seniorité, les origines et on bien évidemment on publie, on se conforme à l'index d'égalité et on publie ses rapports. Donc c'est c'est vraiment quelque chose qui est dans le dans les mission et et dans les valeurs de l'entreprise et qui ne qui ne change pas avec les gouvernements.

Merci. Je je note deux choses. La première, c'est que vous vous n'appliquez pas la décision ou les décisions américaines concernant la diversité.

Ça ça me rassure personnellement, mais je vois pas comment est-ce que c'est possible au sein de votre entreprise. Donc on va regarder comment est-ce que ça peut sur la partie FISA. Je note une hétérogénéité dans le mode de fonctionnement.

On a une réponse disant qu'il y avait des fourchettes très vagues parce que justement il y a une partie secrète sur le FISA et pour d'autres vous nous dites bah nous on donne les informations quasiment à l'unité près. Bon on va on regardera aussi comment est-ce que ça peut se ça peut se faire mais je le traitement hétérogène pose pose des questions. Madame la rapporteur je vous cède la parole.

Merci monsieur le président. Merci à vous pour votre présence et pour vos réponses. Euh je m'excuse, je me permettrai de continuer les questionnements.

Vous avez apporter, je pense toutes les nuances nécessaires. C'est vrai que nous sommes sur un sujet complexe qui a plusieurs éléments. Il y a un premier élément juridique et il y a un deuxième élément technique technologiste d'accès aux données.

Euh je vous propose en tout cas sur les lois extrales qu'on regarde le premier aspect qui est juridique et après nous aurons des questions effectivement sur les capacités d'accès ou non. euh aux données euh d'un point de vue juridique, vous l'avez souligné, notamment le cloud act à un certain nombre de conditions. Je rappellerai quand même qu'aujourd'hui des outils juridiques de lutte contre le terrorisme servent à sanctionner des juges de la Cour pénale internationale, d'où les questions sur l'application de ces lois.

Donc ma question euh elle est simple, c'est dire que légalement d'un point de vue technique légalement si un juge après contestation valide la demande d'accès du gouvernement américain à des données françaises qu'elles soient publiques ou privées, avez-vous l'obligation légale de la transmettre de les transmettre ? Ça sera ma première question. Euh enfin d'ailleurs je vous laisse déjà répondre et on continuera ensuite sur les donc c'est vraiment sur l'obligation légale de transmission après validation du juge, c'est-à-dire nous arrivons en fin de process.

Vous voulez que cette fois-ci ça soit pas qui commence ? Donc déjà, bon, vous avez précisé qu'il y a quand même un cadre légal qui limite qui limite grandement la la possibilité de de pouvoir appliquer effectivement cette demande. Ensuite, comme je l'ai dit, dans le cas du cloud, c'est transmis au client et ensuite il faut qu'il y ait une possibilité technique de pouvoir donner cette demande entre autres.

Aujourd'hui, il y a des euh solutions techniques avec ce qu'on appelle le confidential computing, les clés de chiffrement. Euh dans dans le cadre où ces clés euh sont euh dans un coffre du client, c'est dans une possibilité de les donner. Et puis dans le cadre du de ce qu'on appelle le signum cloud, c'est-à-dire le le cloud sécurisé, euh Microsoft n'aura absolument aucun accès.

Donc quand on met finalement euh les euh conditions juridiques, ensuite les conditions contractuelles où on défend devant les tribunaux et d'ailleurs on a un exemple, on a on a gagné aussi devant les tribunaux et notamment la cour fédérale sur un fisa order et ensuite les contraintes techniques, ça réduit pratiquement à néant la possibilité de données. Dans tous les cas, ce que je vous ai dit, c'est que sur aucune des administrations publiques européennes, nous n'avons jamais communiqué de de données. Après, je voilà, je vous invite à à consulter le rapport de transparence qu'on mettra pour donner des éléments à à mon propos.

Je vous remercie. Alors, comme on est sur un sujet complexe, je vous remercierai de répondre à la question. On aura une partie sur la technicité et je pense que les sujets que vous évoquez demandent des questions extrêmement précises.

Euh là, moi elle est légale. Euh vous nous dites de nouveau, nous allons devant le tribunal. Très bien.

Moi ma question elle est il y a un cadre juridique, je rappelle cadre juridique, nous sommes législateurs, nous savons bien qu'il peut évoluer. Euh mais ma question, elle est légale. D'un point de vue légal, vous avez une demande, vous la vous la contestez devant le juge, ce juge la valide.

Quelle est votre application légale en tant qu'entreprise ? Pas technique, mais avez-vous légalement l'obligation de donner des euh de transmettre ces données ? vous l'avez dit, qu'elle soit publique ou privée, nous avons un grand nombre de Français qui peuvent également stocker leur données dans des clades de vos entreprises.

Donc ma question, c'est sur la responsabilité légale de vos entreprises une fois validation du juge. C'est quand même une question précise et j'aimerais s'il vous plaît une réponse précise. Donc la question c'est chiffré ou non chiffré ?

Est-ce que vous transmettez les informations, même si elles sont chiffrées, donc on fait abstraction du chiffrement, est-ce que vous transmettez ces données chiffrées à l'autorité soit judiciire américaine, soit à l'agence fédérale qui vous en a fait la demande après tout épuisement de toutes les voies de recours. Alors, je je suis désolé, je vais peut-être [rires] répéter ce que j'ai dit sur les administrations publiques. Nous n'avons pas d'exemples où on les a transmises.

On les en combat, on vous l' dit devant les tribunaux mais encore une fois c'est ce que j'ai dit auparavant euh sur les les entreprises publiques privé pardon. On a un exemple dans les trois dernières années. Voilà, je je bah en fait euh la la j'essaie de vous apporter une réponse concrète à savoir que l'obligation légale, elle est en une fois qu'on a aussi regardé toutes les les obligations répondre à toutes les obligations des États notamment.

Il y a on répond aussi euh au nom du comité à ce que sont les législations des différents états. Après, je suis pas une spécialiste, donc c'est pour ça que je vous propose de vous faire une réponse un peu plus détaillée écrite, mais on se met en conformité avec les obligations des États lesquelles on on opère, notamment avec le la ce qu'on appelle la courtoisie, le comité qui nous oblige à effectivement à se mettre en conformité à les obligations des États. Donc moi, je vous propose vous envoyez quelque chose peut-être de plus détaillé si vous avez besoin que la réponse soit plus détaillée.

Alors et je je pense que ces messieurs apprécieront de répondre également et je vous remercie de d'avoir pris cette première réponse qui n'était pas la plus simple. Euh je vais peut-être poser la question différemment puisque je je je vois bien que peut-être que la réponse est difficile à à donner. Je vous demandais si vous aviez une obligation légale de transmettre.

Une autre manière euh de poser la question, c'était euh votre entreprise euh finalement dérogerait-elle à une demande du gouvernement américain validée par un juge ? Et là, je pense qu'on peut répondre par oui ou non. Globalement, vous nous dites nous devons être en conformité dans les États où nous opérons.

Vous avez un siège qui est aux États-Unis, il y a une loi américaine. Vous avez fait un recours, vous avez perdu ce recours. Vous avez deux options.

Vous obéissez à la loi et au juge. Vous désobéissez. Laquelle des deux vous prenez ?

Madame la rapporteur, pour r pour répondre à votre question, euh parce qu'on n'a pas eu l'occasion de de le détailler tout à l'heure, je je rappelle juste un principe de et et ce que j'ai dit en préambule, c'est que le cas que vous évoquez, ce qui est un cas pour nous euh qui n'est pas arrivé puisque comme je l'ai euh comme je l'ai évoqué dans nos rapports de transparence, euh on n'a pas fourni de de en réponse à demande de données de client, entreprise ou gouvernement d'ailleurs situé en dehors des États-Unis, gouvernement américain. Donc je je tenais à le rappeler parce que c'est important. Donc on est dans dans de l'hypothèse euh dans cette hypothèse là et je je me permettrai de d'apporter une précision à ce que vous indiquez.

J'entends que c'est une question de cadre légal mais comme vous le savez aussi dans le dans le cadre légal il y a aussi des exceptions et comme je disais aussi précédemment on ne peut accéder ou en tout cas selon une base légale et en fonction de ce que vous disiez fournir la donnée que pour autant qu'on y ait techniquement assez. Donc au final, je j'entends qu'on par on pose une question légale, mais tout est lié et il se trouve que pour ce qui nous concerne, il y a il y a des solutions qui sont appliquées de manière systématique et que nos clients appliquent également. L'un qui est dans nos serveurs qui est la solution nitro et d'autres types de solutions qu'on a également qui nous empêch nous d'accéder aux données clients, on ne peut pas.

Donc techniquement, dans le cas que vous évoquez, on ne pourrait pas de toute façon répondre à cette demande puisque techniquement on ne peut pas y avoir accès. Et par [grognement] ailleurs, il y a des solutions de chiffrement que soit avec une clé qui est managée par les services AWS ou une clé qui est managée par des prestataires tiers type Devo Team, Talè ou autres qui qui stockent les clés de chiffrement des clients s'il s'ils le choisissent. Et donc en fait dans ces circonstances-là, on serait on serait enfin selon ce que vous disiez si on était amené à perdre en justice parce que n'oublions pas que nous nos action consiste à faire en sorte que la demande soit redirigée vers le client.

On considère qu'on n'est pas légitime à répondre à ces données-là puisqu'on a pas accès à ces données. Donc le client est plus à même, par exemple un opérateur de forum, de réseaux sociaux, je ne sais pas, en tout cas qui a une relation directe avec ses utilisateurs finaux et plus à même de répondre à cette à ce type de question puisque nous de notre côté techniquement ça s'avère impossible. Merci pour Google.

Google Cloud respecte l'état de droit. Si un juge allemand, canadien, chilien, américain ou français nous demande de coopérer, nous le faisons. Nous nous conformons au droit.

Sur une année courante en France, c'est près de 15000 demandes que nous recevons. Demande d'information, réquisition judiciaire et administrative. Nous répondons à hauteur de 80 % d'entre elles avec diligence. les 20 ou 30 % c'est que nous le contenu a déjà disparu ou le compte a déjà été fermé ou ça a été mal libelé qu'on a pas pu le trouver.

Donc on on coopère et on collabore avec chacune des juridictions nationales où nous avons décidé d'opérer en tant qu'acteur économique. Et donc nous répondons aux demandes du juge pour respecter l'état de droit même si le matériel est inexploitable. Merci.

Là, là aussi, je note une certaine hétérogénité dans la réponse parce que sur le cloud, sur le FISA, il y a une partie secrète et je vois pas comment est-ce qu'on peut avoir des réponses et pouvoir le mettre en en les comptant unitairement dans un rapport. Première première chose. Deuxième chose que je note, c'est que ça veut dire que le FISA il sert à rien, que le cloud ne sert à rien.

Donc je comprends toujours pas pourquoi le Cloud Act a été mis comme cavalier législatif dans un texte budgétaire il y a quelques années par un président des États-Unis qui existe encore. Euh et je [grognement] comprends pas pourquoi le FISA est en rediscussion en ce moment au Congrès américain parce qu'il sert à rien ça. Enfin, je je suis très rassuré, ça me fait plaisir de l'entendre sous sous de façon publique et sous serment.

Madame la rapporteur. Merci. Alors, monsieur le président, nous n'avons pas la même lecture.

Euh moi, je je vous remercierai d'avoir une réponse précise sur la coopération euh juridique puisqu'il me semble que toute entreprise fait ça, mais vous êtes le seul à l'assumer. Donc, je vous remercie. Euh le fait de ne pas avoir répondu à trois reprises à une réponse très une question très claire qui répondait qui demandait en fait une réponse binaire oui ou non, je pense nous apporte une réponse qui est que euh oui, vous répondriez à la justice dans la transmission des données.

Euh 2è question sur le lobbing. Je vais plusieurs réponses là encore. Alors moi je ne c'était avant le passage des demandes diplomatiques, mais la position contre la réglementation européenne a maintenant quelques mois depuis l'avénement la réélection de Donald Trump aux États-Unis.

Il me semble que vous êtes tout le monde tous membres du CCIA. Je vais mon accent anglais est absolument terrible. The Computer Communication Industry Association euh qui euh très clairement a publié un certain nombre de communiqués de presse dont un en décembre 2025 qui demandait de ne pas laisser finalement de ne pas attendre en terme de simplification digitale.

Vous êtes tous des acteurs qui avaient du lobbing de manière intensive et transparente hein au niveau de de l'Union européenne hein. à la fois les sommes et les rendez-vous sont publics, donc ils sont présents. Ma question est donc simple, c'est-à-dire que est-ce que vous reprenez la même position que celle fait par le CCIA ?

C'est-à-dire une demande de simplification qui vise de notre part à une dérégulation, c'est-à-dire un affaiblissement ou en tout cas une révision euh globalement à la baisse de du RGPD et de l'IAT. En tout cas, c'est pour savoir les rendez-vous sont transparents mais dans quel sens vous plaidez une fois la porte fermée. Je vous en prie.

Google est membre du CCIA euh et donc le CCCA est un syndicat, une organisation professionnelle. En français, on dirait plutôt un corps intermédiaire. Et donc comment ça fonctionne un corps intermédiaire ?

Ça veut dire que ce syndicat a des groupes de travail thématisés et donc en fonction du texte ou de la réglementation qui est à l'étude typiquement et bien ce un groupe de travail est réuni avec l'ensemble des membres pour établir une position commune et chaque membre vient avec sa contribution et à la fin en général c'est plutôt celui qui tient la plume comme dans toute organisation professionnelle c'est ceux qui s'engagent le plus et qui travaillent le plus et donc en général la position qui est issue de d'un syndicat professionnel reflète l'engagement de ses principaux membres. Donc voilà comment ça fonctionne et donc le CCIA dont nous sommes membres reflète en partie les positions de Google très simplement. Merci pour Microsoft et AWS.

Alors en ce qui concerne le RGPD, nous on est par rapport aux questions sur notre positionnement, on a été dans les je pense les premiers à l'adopter, à le mettre au niveau mondial. Donc nous on a on n pas de position sur on se conforme aux réglementations. Enfin, on n perd pas je dirais en Europe depuis 40 ans pour beaucoup de pays.

En tout cas l'Allemagne, l'Angleterre et la France depuis 40 ans sans se conformer réglementation. Donc la réglementation si on s'y adapte euh à partir du moment où il y a pas de contradiction entre les différentes réglementations. En tout cas sur le RGPD, nous le RGPD une réglementation qui voilà qui sur laquelle on est conforme et qui qui nous va bien et qu'on on pense que c'est une une bonne réglementation puisqu'on l' on l'a mis au niveau mondial.

Après, il y a d'autres Vous parlez de acte, on attend les la mise en place puisque c'est pas encore mise en place. Euh ce qui est important pour pour nous en tant qu'entreprise et là je parle en terme on va dire de business, c'est que voilà ça soit euh applicable que que ça puisse être facilement applicable chez nos clients et pour nos entreprises. Mais euh c'est pas un sujet de réglementation.

Je pense que on a on a démontré depuis de nombreuses années qu'on qu'on pouvait s'y adapter à partir du moment où la lecture en est simple. Il n'est pas en contradiction avec d'autres d'autres législations. Merci pour AWS.

Euh je ferai une réponse assez similaire. Il y a il est pas question en en tant que tel de soutenir une quelconque dérégulation. Je pense que le fond en tout cas tel que l'a appelé monsieur Géot, c'est que ça ces positions reflètent aussi des des positions qui viennent d'entreprise et des conversations avec les clients que plus de faire en sorte que la conformité à ces réglementations suivent des processus qui soient qui peuvent être mis en œuvre de la meilleure façon qu'il soit et d'une façon harmonisée en Europe surtout euh notamment dans le cas d'GPD ou dans le cadre de l'ICT pour faire en sorte que des actions par exemple de conformité, je prendrai un exemple parce que c'est ça fait l'objet de des discussions actuelles dans le cadre de l'ommibus numérique euh que un rapport des un rapport de d'évaluation des risques dans le cadre du RGPD plus service de base dans le cadre de du rapport de l'évaluation des risques dans le cadre de l'acte et qu'on nit pas à recommencer le travail deux fois.

Je c'est plutôt des travaux de bon sens dans le cadre d'une mise en conformé au réglementation mais ça va pas plus loin que ça. Merci. Je suis je suis rassuré madame la rapporteur.

Je vous laisse poser une question puis monsieur Tacher en aura une aussi à suivre. Euh je vous remercie donc globalement de de ce que je j'entends que vous respectez la loi et et c'est normal. J'imagine que les sommes dépensées quand même en en lobbing pour vocation en tout cas au moins à se faire si je me mets dans votre position le porte-parole d'un certain nombre de contraintes de la part des entreprises du numérique sur le RGPD.

Je suis ravie d'entendre qu'il fonctionne bien. Je vous garantis que si c'est une question de de transmission des rapports, il y aura pas de sujet. Euh nous on est beaucoup plus inquiet sur la redéfinition de la enfin sur la modification de la définition de données personnelles euh sur ce type d'élément sur lequel euh en tout cas quand nous étions à Bruxelles il y a euh quelques semaines, il nous a plutôt été dit que euh la manière dont les choses avaient été écrites sans études ou analyse extérieure reprenait plutôt des demandes conjointes des grands opérateurs dont vous êtes. d'ailleurs demandes qui sont relayées par votre je sais pas si mot syndicat en tout cas corps intermédiaire.

Euh donc il me semble que globalement si vous vous retrouvez dans ces positionnements, vos demandes vont au-delà de la simplification de de transmission de de données. Euh je voudrais continuer avant de laisser la parole à mon collègue peut-être sur le modèle économique euh peut-être avec trois questions, ça a commencé à être abordé dans les propos liminaires. on avait l'avis de la l'autorité de la concurrence avait quand même relevé un certain nombre de sujets he un manque de transparence sur les tarifs.

Donc c'est un rapport de 2023, des crédits cloud très importants, des systèmes de licence qui rendent plus coûteuse utilisation de produits dans des environnements cloud concurrents, d'ailleurs notamment dans les produits Microsoft euh des à l'inverse plutôt là sur Amazon des mises à jour unilatérales de certains services faisant office de standard techniques auxquels les autres acteurs ont accès avec délais. Donc moi, voilà, ce rapport à 2 ans, quelles sont les évolutions que vous avez fait dans vos pratiques ? Et peut-être pour revenir plus précisément sur Microsoft, il y a une plainte de la part de Google Cloud contre Microsoft au niveau européen.

Plainte qui a été retirée, mais non pas parce que les fondements, c'est-à-dire de verrouillage, c'està dire que le fondement était toujours là, mais il y avait de la part de la Commission européenne une volonté de se saisir du sujet. 1. Est-ce que vous pourriez nous expliquer euh les raisons pour lesquelles Google Cloud avait fait cette plainte de où en est où en sont les travaux de la Commission européenne sur ce sujet ?

Et ma troisème question et je suis désolée c'est de nouveau pour Microsoft, nous avons dans nos auditions eu un déci d'une grande organisation euh nous expliquant que un contrat globalement de périmètre identique avait euh entre un contrat et ancien contrat et nouveau contrat les prix augmentaient de 20 %. Euh donc deux choses. Un, il nous a été dit que Microsoft demandait expressément à ce que les augmentations ne soient pas communiquées étant sous serment, il a été il l'a il a contraint de le faire par transparence.

Donc un pourquoi demander aux acteurs et notamment aux acteurs publics de ne pas faire leur transparence sur l'augmentation des coûts et deuxièmement qu'est-ce qui peut justifier sur un contrat de périmètre à peu près identique une augmentation de 20 %. Je vous remercie. Oui, je vous propose de prendre je vous propose de prendre la parole madame que vous Oui, vous avez beaucoup de questions pour moi.

Donc je vais peut-être les les prendre dans l'ordre si vous me direz si j'en ai oublié une. J'essayie de les noter. Euh sur sur la transparence des prix.

Bon, nos prix euh de licence et nos prix de service cloud sont publiés sur un site. Donc à cas je vous donnerai ça, je pourrais vous vous indiquer. Donc les prix euh les prix sont publiés.

Euh les prix sont effectués en dollars et ensuite transmis transférés en euros en ce qui concerne en ce qui concerne l'Europe. Euh ensuite, il y a sur ce même site des remises qui sont faites sur la base de volume. Donc il y a une transparence transparence des prix euh qui est qui est complète et qui est accessible voilà par tous nos clients par tous nos clients privés et publics.

D'abord ensuite vous avez parlé de vous avez parlé des augmentations de prix. Donc je reste sur les prix, je reviendrai sur la dans dans la lignée sur la la haute autorité de la concurrence euh sur les augmentations de prix. Et bien les augmentations de prix, elles ont euh elles existent mais comme dans toute industrie.

Euh elles sont liées à trois sujets. Euh le premier ben c'est des augmentations qui sont liées aussi à un enrichissement des un enrichissement des logiciels des produits et des services. Ça peut être de la sécurité mais ça peut être des enrichissements de produits aussi.

Donc ça c'est le premier point. Le 2e euh point, c'est euh des augmentations de prix liées aussi à des augmentations, mais là encore comme toute industrie, de matériel, de personnel euh de de coût d'investissement. Euh et le trème sujet, c'est euh des augmentations de prix qui euh peuvent être liées à des euh taux de change.

Euh alors, je je fais un petit point là-dessus parce que euh on est transparent sur les augmentations de prix qui ont eu lieu. La la dernière était en 2023, il y a eu effectivement 11 % d'augmentation qui était lié à un taux de change eurodollar. Je précise que les contrats lorsqu'ils sont signés sont valides.

Alors, c'est soit 3 ou 5 ans. Et donc là, dans ce cadre-là, euh euh évidemment euh les les prix sont connus sur une durée de validité et c'est ce que ce que nous demandent nos clients. Ce qu'on a moins dit par ailleurs, c'est que avec des nouvelles des nouvelles conversions, il y a eu une baisse de prix en février 2026 si ma mémoire est bonne sur le mois qui était à peu près de 7,6 %.

Donc ça donc ça c'est il est effectif que ça c'est ça fait partie aussi des ça fait partie aussi des des évolutions de prix. Ceci dit nos comme je l'ai indiqué nos nos prix sont finalisés dans des contrats et sont valables pour la durée des contrats et nos clients que nos clients soient publics ou privés. précisant que sur les clients publics euh c'est fait via des via des distributeurs et des partenaires. sur votre 3ème question sur l'autorité la concurrence c'était effectivement une discussion c'était en 2024 et il y a eu il y a eu un accord qui a été trouvé avec un certain nombre de de fournisseurs de cloud dans VH dans l'association 6P par rapport à Windows Server euh sur c c cet accord là donc moi j'en ai pas les détails mais l'accord a été trouvé donc et donc ce sujet-là est est fermé Mais euh je pense que il faudrait poser la question à Google qui a déposé effectivement une plainte et qui l'a retiré.

Euh nous on estime que c'était il n'y avait pas de base juridique mais je propose de les laisser répondre sur sur ce sujet spécifique là. Voilà. J'ai une dernière question sur les prix.

Euh lors de la mise à jour Windows 11, euh il y a eu tout un débat parce que cette mise à jour ne pouvait pas se faire sur un certain nombre de matériels euh un peu euh ancien mais tout à fait fonctionnel. Euh le sujet va se reposer. Est-ce que euh pour des personnes qui ne pourraient pas mettre la à jour Windows 11, Windows 10 deviendra payant ou non ?

Alors, je vais laisser Philippe répondre là-dessus si vous permettez parce qu'il y a un petit peu de technique sur le Windows 10 et 11. Philippe, je te laisse la parole. Oui, sur le bonjour. sur le sur le passage de Windows 10 à Windows 11.

En fait, vous savez, la sécurité est notre principal souci euh et qu'en fait il y a une ce qu'on appelle une racine de confiance matérielle euh qui a été déclaré comme étant vulnérable à des attaques. [grognement] Ça veut dire que parlant deci, ça veut dire que toute personne qui a accès à une machine avec cette ancienne technologie peut accéder aux données euh quel que soit d'ailleurs le système d'exploitation qui est utilisé sur ce matériel, que ça soit du Linux ou du Windows ou autre. Euh et donc comme nos nos systèmes d'exploitation ont à peu près une durée de vie de 10 ans, souvent rallongé puisqu'on a on a rallongé 2 3 ans celle [grognement] de Windows 10, au passage de Windows 11, on pouvait pas se permettre d'aller contre la vie notamment de l'ANC et c'est le cas de d'autres autorités de sécurité.

Et donc on [grognement] était euh euh dans une base qui nécessitait d'avoir cette nouvelle puce qu'on appelle TPM 2.0 pour assurer la sécurité en fait des données de nos clients. Bah sur les personnes qui restent en en Windows 10, il y a plusieurs déjà il y a eu des extensions de de de support à la fois sécurité pour les entreprises et pour les particuliers avec des extensions qui sont gratuites pour les pour les particuliers.

Les entreprises après peuvent continuer à à utiliser ces matériels là dans d'autres conditions si elles acceptent les risques de de sécurité associée. Merci. Avant de passer la parole, je pense que c'est à WS.

Je je suis heureux de noter que l'augmentation de tarif de 2025, on paye une partie de Crow Strike. Monsieur Monsieur Lpine, merci pour vos questions. Je vais essayer de les prendre dans l'ordre.

Donc n'hésitez pas à me reprendre si jamais j'en oublie. Euh la première partie sur les la première partie de votre question était sur les tarifs qui sont peu clairs. [grognement] AWS depuis notre création, on a un catalogue de tarif qui est complètement public, qui est disponible en ligne à l'ensemble de de nos clients.

Donc c'est vraiment des fondamentaux un peu l'ADN d'Amazon effectivement où on affiche le prix publiquement disponible sur un sur un site internet. Comme tout commerçant en fonction du volume bien entendu, les prix les prix vont descendre. Euh alors, ils sont publics, ils vont descendre.

On a aussi fait 161 baisses de prix depuis qu'on a créé la plateforme. Donc on a plutôt au contraire effectivement une un ADN centré sur sur le fait de avec l'échelle on va avoir des bénéfices et ces bénéfices on les repasse à nos clients pour effectivement pouvoir les les baisser. Alors pour certains contrôleurs de gestion effectivement avoir un catalogue de prix où chaque service a un prix qui est différent dont certains qui sont facturés à la milliseconde effectivement ça peut ça peut apporter une certaine complexité.

Donc, on fournit aussi un ensemble d'outils qui permet de planifier, de décrire une architecture technique, d'avoir une estimation du prix. Une fois que, ce qui permet au client de faire un choix éclairé, c'est vraiment le but, encore une fois, sans engagement, une fois que le client a commencé à travailler, on a des outils de suivi qui leur permettent d'avoir une vision du budget consommé, de savoir si jamais il y a des dépenses qui sont au-delà du budget estimé. Donc, on a on a vraiment un travail là-dessus fait pour les aider.

Donc au contraire, on est vraiment des avocats d'une transparence la plus grande possible sur les sur les tarifs, enfin sur les sur le coût de nos services tarif ayant une signification un petit peu différente en ce moment [grognement] d'un point de vue géopolitique. Le deuxième élément, vous parliez des crédits et effectivement il y a eu il y a eu un certain nombre de de d'analyses et d'études au niveau de la concurrence sur sur les crédits. Les crédits sont vraiment un moyen particulièrement et je reviens sur les sur les PME dont je parlais tout à l'heure de venir essayer une plateforme.

Si vous allez voir les incubateurs, on va parler des start-ups particulièrement, [grognement] ils ont la possibilité de tester des crédits différents de plusieurs plateformes et on voit que plus de 80 % des entreprises en fait utilisent déjà du multicloud. Donc oui, le crédit est pour eux un moyen de tester la plateforme, pas du tout un moyen d'engagement. les crédits, ils peuvent les utiliser, ils peuvent arrêter de les utiliser, ils peuvent changer de plateforme.

Donc c'est c'est un moyen effectivement de découvrir et c'est vraiment comme ça qu'on le positionne. [grognement] Euh il y avait une question qui nous était spécifiquement ciblée sur les mises à jour unilatérales. Alors j'ai pas le détail exact du cas précis qui a été qui a été [grognement] analysé.

Par contre, on a on a un certain nombre de réponses. Si vous avez commencé à utiliser Amazon S3 il y a 20 ans, vous pouvez toujours continuer à l'utiliser de la même manière. S3 de stockage.

S3 c'est notre service de stockage Simple Storage Service. Donc c'est vraiment notre service de stockage qui est le premier service sorti par AWS en mars en mars 2006 donc il y a exactement 20 ans. Vous pouvez l'utiliser en 2026 en utilisant exactement les mêmes appels.

À une différence un niveau de sécurité en 2006 les standards de sécurité qui étaient utilisés d'un point de vue chiffrement ilétait pas poste quantique. C'était pas encore dans les questions qui étaient effectivement posées à ce niveau-là. Donc on a fait des mises à jour sur le chiffrement, mais les le fondamental de de la PI reste le même.

Et et le deuxième point qui pour nous est un point important, les SDK donc qui sont les software development kit qui permettent d'intégrer la plateforme AWS à une application ou à un développement un développement logiciel sont open source depuis leur création, sont auditables, sont downloadable et on a travaillé pareil encore une fois depuis une autre création avec des plateformes comme Terraform qui est une grande plateforme utilisée pour le déploiement. Je sais qu'elle a été utilisée récemment dans dans des postes euh pour justement laisser le libre choix euh aux clients. Donc enfin heureux d'avoir d'avoir plus d'informations sur ces éléments-là.

Euh je vais laisser Arnaud prendre la parole sur les licences. Madame la rapporteur sur votre dernier point sur les licences pratiques de licence de logiciel desloyal. Ça a un problème pour pour nos clients et c'est des choses qui ont été rapportées il y a il y a de nombreuses années maintenant.

Mais c'est pas un problème lié au cloud. En soit, une licence de logiciel, c'est du code, ça devrait être portable sur quel que soit l'environnement, que ce soit un environnement sur site, dans le cloud ou ailleurs. Et je pense qu'il faut le distinguer aussi des environnements cloud où l'environnement cloud, c'est une somme de logiciel mais aussi de matériel, de réseau et de sécurité qui sont qui s'exécutent dans un environnement spécifique.

Donc c'est des choses qui sont quand même assez distinctes. et mélanger les deux. Ça brouille un petit peu aussi le contexte et et ça évite de mettre en lumière le problème de restriction lié aux licences logiciel.

C'est des choses qui ont été constatées par un certain nombre d'organisations. Vous avez cité l'autorité de la concurrence la l'autorité de la concurrence anglaise récemment s'en est saisie également. Le CRF s'en a été saisi il y a quelques années également.

Donc c'est un problème de taille important euh sur lequel il serait il serait effectivement important d'agir. Arn peut-être pour préciser, c'était fait pas partie des questions que j'avais posé mais qui était comme ciblé dans le rapport sur les frais de je mal le prononcé les fe c'estàdire les frais de pour les données sortantes c'est toujours en application ou il y en a encore ou pas ? Et de si oui de combien ?

Alors euh si vous me permettez madame la rapporteur, euh le principe chez AWS c'est que les clients, ils utilisent les services AWS et on n'est pas au courant des actions qu'ils font. Alors, lorsque le client reprend ses données, fait du ce qu'on appelle du data transfert out, il peut le faire pour plein de raisons, notamment parce qu'il souhaite quitter les services des W mais pas uniquement. il peut reprendre des charges de travail pour les traiter en interne et les et les remettre sur la plateforme.

Donc nous euh depuis l'origine, comme c'est une utilisation euh des services WS, c'est des choses qui a été facturé mais en revanche euh il y a pas de frais de facturation des frais pardon de résiliation qui a été facturé lorsque le client il souhaitait quitter les services CWS. Euh donc, on avait mis en place de manière générale et hors euh cas de résiliation euh des euh comment dirais-je des des réductions en garantissant 100 Go occtai euh sans frais par mois. Et ça c'était euh euh depuis quelques années et ça c'est d'ailleurs toujours applicable, je crois.

Euh et puis euh dans le casre des discussions notamment dans la réglementation euh Free Flow Datawust et après euh dans le casre du data act, il y a de nouvelles choses qui sont venues euh s'ajouter à cela. Donc effectivement euh euh peu importe, j'ai envie de dire la raison de facturer l'utilisation de la service, la réglementation euh a imposé je crois depuis euh depuis euh elle est rentrée en vigueur en septembre 2025 et pour les frais de transfert s'appliquent dans 3 ans. Nous, on a anticipé cela même si encore une fois c'était pas des résiliation en permettant aux clients euh de faire en sorte que s'ils souhaitent quitter les services CWS et bien ils le fassent sans frais. et par ailleurs toujours dans la cadre de règlement du data act euh de faire en sorte que lorsqu'ils souhaite faire une utilisation de plusieurs solutions cloud en même temps, ce qu'on appelle multicloud, euh il pu le ils puissent le faire euh au prix euh donc à coût euh à coût enfin au prix euh et ce en conformité avec la réglementation du data acte.

Donc pour répondre à votre question, il y a pas de frais de facturé, de frais de sorti facturé. Google, merci beaucoup. Comme comme nos concurrents, nos prix sont publics en ligne.

Je souhaiterais indiquer à la commission que l'INC s'est rapproché de nous il y a une grosse année de ça pour faire un indice de prix et donc maintenant on participe de manière trimestrielle à la production de cette cororte statistique qui est en cours de de mise en place. Et euh vous pourrez aussi vérifier avec mais pour nos prix pour l'instant ne ne bougent pas depuis plusieurs trimestres. On peut-être aussi euh noter que au moment de la crise énergétique en 2022, nous n'avons pas augmenté nos prix contrairement à certains de nos concurrents.

Euh et puis revenir, on vous l'a dit, Sébastien vous l'a dit dans son proposiminaire, mais c'est notre position de marché avec de l'ordre de 10 % de part de marché qui guide notre stratégie. Et donc typiquement sur la partie data act, on a fait clair et simple parce qu'on veut faire bouger le marché. Donc on a été les premiers en anticipation à mettre fin au coût de sortie, c'est-à-dire quand le contrat se finit avec son fournisseur cloud et qu'il doit migrer ses données en dehors pour qu'elles reviennent chez lui ou chez un autre fournisseur.

Tout ça a été remis à zéro. On a beaucoup communiqué à l'époque et du coup on a fait bouger les autres acteurs du secteur qui ont dans les mois qui ont suivi est obligé de faire la même chose. concernant, on a fait la même chose sur ce qu'on appelle les en cas de multicloud puisque là encore de compte tenu de notre position de marché, nous sommes en faveur du multicloud, en dehors de l'aspect sécuritaire et de ne pas mettre tous ces œufs dans le même panier pour qu' ne pas créer un seul point de rupture, un single point of filure en matière de cybersécurité.

Et bien, c'est notre intérêt de pouvoir offrir nos technologies. Et donc comme on est pro multicloud, on a réduit à zéro. Là aussi euh on a été les premiers pour emmener le marché et c'est ce qu'on essaie de faire d'être différent pour attirer de nouveaux clients et c'est et c'est notre intérêt euh concernant ah oui euh concernant les crédits class.

Donc c'était une des dispositions de la loi seraine et il se trouve que dans le cours des débats parlementaires, la commission a écrit par deux fois à la France pour lui expliquer que elle surtransposerait dans le cas des crédits puisque c'était pas dans le texte du Data Act. Et par deux fois, la commission a dit au gouvernement français, si vous surtransposez, soyez conscients que cette surtransposition ne pourra s'appliquer qu'aux acteurs qui facturent depuis la France. Et là, ça va me permettre aussi de dire que nous sommes différents.

Et donc à ce moment-là, l'administration s'est aperçu que du coup uniquement des acteurs locaux facturant depuis la France seraient impacté. Et donc je tiens à signaler que Google Cloud France SARL facture depuis la rue de Clichi et sous législation française alors que AWS facture depuis le Luxembourg à ma connaissance et que Microsoft facture depuis l'Irlande. Et donc ça veut dire que cette surtransposition qu'on trouve dans le texte français à la fin s'applique qu'aux acteurs qui ont qui facturent depuis la France. et Google Cloud est le seul des hyperscalers qui facturent depuis la France.

Euh nous sommes aussi sur ces questions de de coup de sortie signataire du code Swippo qui a été travaillé au niveau européen. Je souhaitais vous le souligner. Euh enfin, concernant la plainte que nous avons retiré sur indication de la DG concurrence de la Commission européenne, c'est pour nous une question de principe.

Peu importe l'acteur, c'est la barrière que nous rencontrons sur ce marché. C'est la barrière que rencontre tous les acteurs. Merci.

Ça ça veut donc dire que si la DG Code ne va pas au-delà de de simplement faire ce qu'elle fait en ce moment et qu'elle ne il y a pas de sanction ou modification législative, vous pourriez reprendre votre plainte. Alors, il s'agissait de la DG concurrence euh et donc la DG connect dans le DG concurrence, vous avez raison. Voilà.

Et donc la DG concurrence nous a invité à à retirer notre plainte euh et euh nous a indiquer que d'autres textes pourraient d'être le lieu euh pour régler la question des licences juridiques déloyales. Mais si tel n'était pas le cas, si comme ce vous ne voyez rien venir, est-ce que vous reprendriez votre plainte ? Je ne sais pas vous répondre.

Je notre position est que ce combat est trop important pour qu' pour qu'il ne le continue pas. Donc, j'aurais tendance à vous répondre que oui, à ce moment-là, nous remonterons au créneau. Euh nous espérons qu'un certain nombre de textes aboutiront d'ici là pour régler la situation.

Merci monsieur Tacher. Merci monsieur le président. Mesdames et messieurs, merci d'être avec nous cet après-midi.

Euh ça a été dit, l'État français et les Français hébergent une part croissante de leur données sur vos infrastructures. Je comprends des réponses que vous avez formulé aux questions du président et de la rapporteur euh que finalement en cas d'injonction américaine de transmettre au titre du cloudout ou du FISA les données des Français qui sont hébergées sur vos sur vos infrastructures en cas de d'injonction après la décision d'un juge, vous transmettriez ces données. vous n'avez pas répondu en disant qu'il y avait une garantie juridiquement opposable que vous pourriez offrir au Français en cas de demande de la justice américaine de transmettre ces données.

Si je dis quelque chose qui est faux, merci de de me contredire. J'irai un petit peu plus loin dans dans la question. La plupart de vos entreprises ont financé la campagne du président actuel des États-Unis d'Amérique.

Que se passerait-il en cas de conflit majeur entre la France et les États-Unis d'Amérique en matière de politique étrangère, en matière de de diplomatie ? Est-ce que vous pouvez garantir une continuité du service euh de vos entreprises euh dans ce cas précis ? Je je suis obligé de de l'évoquer, hein.

Ça paraît un peu surréaliste, mais quand le président des États-Unis d'Amérique dit que finalement, il faut rebaptiser le golf du Mexique en golf de l'Amérique, on a là-bas des dans les Caraïbes des des des empreintes françaises, il y a il y a les Antill ou autres, un conflit peut arriver direct ou un conflit diplomatique majeur, on le voit le juge Guillou qui était à la Cour pénale internationale en raison d'avoir fait appliquer le droit international, s'est vu couper ses moyens de paiement. par l'application des lois extraterritoriales américaines. Qu'en serait-il en cas de divergence majeure, en cas d'injonction de l'administration américaine auprès de vos entreprises de finalement faire le kill switch, de finalement ne plus assurer la continuité du service ?

Quelle garantie pouvez-vous nous donner face à une telle hypothèse ? Et quels sont les scénarios que vous avez documentés parce que vous êtes des entreprises importantes, sérieuses, avec des moyens importants. Donc vous avez vous avez certainement scénarisé et documenté des scénarios.

J'aimerais avoir une réponse. Merci. Merci pour votre question euh monsieur le député.

Euh euh cette cette question tout d'abord sur le contexte, nous on fournit des services au aux organisations, donc aux entreprises. Euh donc c'est des cas effectivement euh euh c'est des cas pour lesquels euh on a eu des questions des clients euh et donc c'est des questions qui sont importantes bien évidemment. Euh mais néanmoins cette question, elle occulte aussi une réalité, c'est que on ça a été évoqué plusieurs fois, il y a aussi une interdépendance à plein de niveaux entre les États-Unis et l'Europe.

Et donc c'est un point qui est quand même important. Amazon Web Services, c'est une entreprise globale, on l'a rappelé, on a 39 régions cloud dans le monde. On dépend d'une chaîne aussi de de fournisseur qui est qui est très varié et dans plein de pays différents.

Et on a investi massivement en centre de données dans les pays dans lesquels on est présent, en particulier en France, mais mais également en Europe. Ce sont des investissements à long terme. On est là aussi pour des durées de 10 15 ans ou plus en tout cas pour ces investissements là.

Euh mais le point qui est qui est fondamental, c'est que nos clients, ils comptent sur nous euh comme vous le rappeliez pour qu'on puisse continuer à fournir les services en toute circonstan euh dans les cas euh effectivement où euh cette continuité de service, elle serait menacée. Euh nous on prend l'engagement ferme mais encore une fois c'est un cas qui aujourd'hui euh pour ce qui nous concerne euh ne s'est pas réalisé. Mais si jamais ça devait se réaliser, on prend l'engagement de mettre tout en œuvre en pratique pour continuer à fournir le service.

Cet engagement, il est il est important. il prendra probablement différentes formes mais et en fonction de la situation mais c'est un engagement qui est extrêmement important pour les clients qui souhaiteraient avoir des garanties supplémentaires. Dans ce cadre, on a lancé comme on l'a rappelé dans les propos liminaires, le cloud souverain européen en janvier.

Donc c'est tout récent euh qui est une infrastructure qui est basée pour la pour les premiers types pour les premiers centres de données en Allemagne mais on a annoncé d'autres centres de données dans d'autres pays européens et qui se veut encore une fois être un nouveau cloudre pour l'Europe. Dans ce cadre-là, les infrastructures, le personnel, le management est en Europe. Cette infrastructure bénéficie aussi en son sein d'un réplicat du code source, ce qui veut dire que elle n'a pas de dépendance critique aussi vis-à-vis de nos deux autres infrastructures en particulier aux États-Unis. et dans le cas d'une déconnexion mondiale de l'Europe, et bien il y aurait tout ce qui est nécessaire pour continuer à opérer le service en Europe.

Euh donc ça c'est un point un point qui est qui est fondamentalement important et j'ajouterai deux éléments supplémentaires d'un point de vue contractuel pour les clients de de ce nouveau cloud pour l'Europe. Vient un engagement qui est aussi ferme qui dit que si on devait mettre fin à toute ou partie des services fournis par ce nouveau cloud, on ne pourrait le faire qu'avec un préavis de 12 mois qui laisse donc de la visibilité à ces à ces entreprises. Et enfin euh le en terme de d'éléments de détail, encore une fois, ça ne remet pas en cause ce que vous venez de la question que vous venez de poser, mais c'est un élément de détail qui nous semble important.

Le ministère de la justice néerlandais a publié une étude en février de cette année euh principalement sur ce nouveau cloud que nous venons de lancer euh et analysant cela au regard de de d'un certain nombre de euh de de d'événements qui pourraient amener à cette rupture de continuité et ces événements-là qui que cette étude a qualifié de d'improbable. Alors, je ne veux pas dire que ça n'arrivera jamais mais en tout cas c'est un élément que que je souhaitais apporter à votre attention. Merci.

Mais juste avant de passer la parole à Google, juste une question pour compléter celle de de mon collègue. Concernant le juge Guillou, aujourd'hui, il peut bénéficier des services d'AWS. Alors, Amazon en livraison de colis et la question c'est sur Amazon.

Est-ce qu'il peut avoir accès aujourd'hui à votre suite et à et à du stockage ? Ça je peux je peux pas répondre à votre question parce que c'est on a principalement on a des clients entreprises donc je sais pas si le juge Guillou a une entreprise qui souhaiterait euh utiliser les services à Wos mais je peux on va lui demander de créer une URL en France mais qui pourra peut-être utiliser les services à WS Google. Merci.

Pour répondre, monsieur le député Tâché sur votre question sur le financement électoral, le système américain est très différent et le financement se fait principalement par les employés de l'entreprise qui sont regroupés dans des groupes, je crois qu'on appelle ça des GPAC, alors je connais un peu moins ce et donc il y a un groupe République puisqu'on est dans un système bipartisan, il y a un groupe républicain, il y a un groupe démocrate et nos employés viennent financer les campagnes électorales, que ce soit au niveau euh des États ou au niveau fédéral au travers de ces GPAC. C'est ce que font toutes les entreprises sur le sol américain. Donc c'est un système très différent de de notre système côté République française.

Mais voilà, c'est pas plutôt l'un ou plutôt l'autre, c'est les deux. Et et si vous prenez la couleur politique notamment de la Californie, typiquement elle est majoritairement démocrate mais c'est pas vrai d'autres états. Donc ces choses-là évoluent dans le temps.

Et si alors peut-être qu'il y a un GPAC, j'ai toujours entendu parler du système partisan bipartisan mais il y a d'autres partis politiques qui existent aux États-Unis et j'imagine vu le nombre d'employés qu'on a qui a peut-être un GPAC qui existe peut-être pour d'autres parties que ces deux-là pour être le plus précis possible dans ma dans ma réponse sur la question du kill switch. Et je pense que c'est important aussi de revenir à au discours de Bruno Lemer en 2021 lorsqu'il lance la doctrine Cloud au centre et il prend l'exemple du nucléaire français et et notamment il dit et c'est pour ça qu'il fait la comparaison avec le cloud, il dit dans les années 50 EDF qui avait développé sa propre technologie de nucléaire civil et qui était très certainement de qualité a fait le choix conscient et on était à l'époque sous le général de Gaulle enfin une certaine idée de la France si je puis me le permettre et Donc EDF a fait le choix conscient d'acheter des licences américaines de de l'entreprise Westing House. À l'heure où on se parle aujourd'hui en 2026, l'ensemble du parc nucléaire civil français hors EPR nouvelle génération tourne encore sur des licences Westing House.

Donc la question du kill switch, elle est majeure, fondamentale et la première question c'est est-ce qu'on pourra allumer la lumière le matin ? nous concernant et c'est pour ça qu'on est dans une position plus confortable peut-être que nos deux concurrents, c'est d'abord qu'on a une solution, je vous en ai parlé qu'on appelle dans une bulle d'air qui est donc complètement déconnectée et donc qui n'est pas déconnectable puisqu'elle n'est pas connectée. Le deuxième point, c'est ce sont les travaux liés au Secnum Cloud.

Et c'est à noter aussi puisque LANC dans son travail sérieux n'a pas attendu tel type de mouvement politique dans tel pays. Et donc dès 2016, dès début 2016, dans sa première version, il existe une obligation d'un plan de réversibilité. Ça veut donc dire si je n'ai plus accès à mes théologies, à mes technologies, comment est-ce que je fais pour continuer ?

Donc ça fait partie intégrante du SECUM Cloud. Donc on a une offre préexistante totalement déconnectée qui est celle de Google Cloud Platforme. Et ensuite vous pouvez accéder à nos technologies qui ont été qualifiées Secnum Cloud mais qui sont chez la filiale de Talès qui s'appelle sens parce que ça a été prévu dans le cadre du Secum Cloud.

En cas de kill switch rien ne serait simple et toute migration serait fort complexe. C'est vrai pour n'importe quel projet informatique et pour dans le cas d'un kill Switch très certainement. Mais donc il y a deux solutions euh existantes.

Ensuite, pour ce qui est des services de Google de Cloud Plateforme en en en direct, on a pris l'engagement suite à à ces craintes qui sont remontées, hein, on n'est pas aveugle au tumulte du monde euh qui sont remonté directement chez nous. On a pris l'engagement et ce sera complexe et pas simple, mais de fournir à nos clients en cas euh de d'interruption de nos services l'accès à notre code pour qu'ils puissent, s'ils ont les tailles d'ingénieurs nécessaires, assurer de la continuité de service. Ce sera pas simple, mais c'est ça notre engagement.

Et même question que pour AWS, pour le juge Guillou, vous avez appliqué la réglementation américaine et vous avez coupé les accès du juge Guillou à toute solution Google. Alors sur en l'occurrence là, il s'agit plutôt de du compte mail dont on parle et nous offrons à tous les utilisateurs, qu'ils soient juges de la Cour pénale internationale ou qu'il ne le soit pas la capacité de récupérer leurs données dans un format utilisable, interopérable pour qu'ils puissent migrer sur une autre solution car nos technologies sont basées sur de l'open source. D'accord ?

Premier point, si la loi le permet, nous prenons nous prévenons l'utilisateur et nous lui fournissons le pas à pas pour pouvoir migrer ses données. Et si on a suffisamment de précision, typiquement dans une décision judiciaire, et bien on va lui dire c'est à telle date que vous devrez faire telle action pour pouvoir conserver vos dînés et créer cette migration dans un format interopérable. Si la loi ne le permet pas, nous respectons l'état de droit et nous appliquons.

Ce qui veut dire en l'état actuel des choses que le juge Guillou ne pourrait pas ouvrir un compte Gmail et ni profiter de Google suite enfin de de la suite Google s'il le demandait même en à titre particulier. Tout à fait. [raclement de gorge] Donc sur la déjà sur sur le le CL switch pour vous répondre là-dessus euh la probabilité déjà est est enfin est extrêmement faible et voire inexistante mais je vais expliquer pourquoi pour donner un peu de Microsoft c'est une entreprise globale donc on on opère dans 180 pays on a pris l'engagement d'augmenter de 40 % nos data centers nos centres de données pardon en Europe d'ici 2027 donc il y a énormément d'invest investissement et ce serait on va dire suicidaire que de d'avoir un kill switch.

L'entreprise n'est n n'est pas le le gouvernement américain. Ceci étant dit, ces préoccupations, elles arrivent et les questions arrivent chez nos clients. Donc, il faut répondre à ces préoccupations et donc on y répond de plusieurs manières. d'abord d'une manière contractuelle, c'est-à-dire qu'on s'engage à on a pris des engagements de résilience euh vis-à-vis de nos clients du secteur public, mais aussi les infrastructures et les services euh les services critiques et les infrastructures critiques au niveau européen.

Nous avons aussi un conseil d'administration avec des Européens pour les data center. Euh et puis ensuite, on a effectivement des engagements techniques avec une panoplie de possibilités en fonction de là où se trouvent les clients. Je propose que Philippe vous vous décrive ses engagements techniques qui concrètement ne donne pas la possibilité donne la possibilité au clients justement de de pouvoir se protéger du kill switch.

Philippe, excusez-moi avant que monsieur Limour réponde. Ça veut donc dire que il n'y a pas eu de kill switch de la part de Microsoft avec une entreprise indienne, une université chinoise, [grognement] la la Cour pénale internationale et éventuellement certains de ces juges parce que ça n'existe pas le kit switch sur la cour. Alors, je sais pas sur l'entreprise indienne, tout ça, je je laisserai on vous passera des informations si mais j'ai pas ces informations là en tout cas parce que moi c'est pas dans ma voilà euh dans ma zone de de travail, mais en ce qui concerne la CPI, Microsoft n'a pas coupé les services.

C'est tout ce que je peux vous dire. Et si vous avez besoin de effectivement plus d'informations, je propose que encore une fois, c'est pas mon mon champ de compétence. On vous fera passer une note là-dessus.

Je vous remercie. Monsieur Limour. Euh oui, donc concernant le la résilience, il y a plusieurs effectivement manières pour nos clients de de se prémunir de de ce type de de continuité d'activité.

Euh la première, c'est que nous disposons également euh nos clients peuvent utiliser des mécaniques entièrement déconnectées. Donc vous pouvez installer dans vos propres centre de données une solution qui s'appelle Azure Locale euh qui permet d'être entièrement déconnecté de de la plateforme Microsoft. euh solution que qui est achetée euh du matériel qui est acheté auprès de de revendeurs dont le client est public ou privé est entièrement euh euh propriétaire et donc euh complètement déconnecté du monde euh du monde Microsoft sur lequel on peut également faire tourner euh des logiciels de collaboration ou de de partage SharePoint, une solution qui s'appelle Microsoft 365 locale.

Ensuite, il y a des licences qu'on appelle l' premise. On n'est pas dans le cloud mais c'est un moyen de de résilience également. Et le troisième c'est également euh au travers de Secnum Cloud et donc de l'entreprise bleue qui a effectivement des plans de résilience et qui est complètement autonome pour servir ses clients, les supporter, les facturer et donc qui c'est complètement autonome dans ce cas-là également pour pour continuer les activités sur base de technologie Microsoft y a une séparation complète entre l'opérateur et le fournisseur de technologie. fournissons de la technologie à bleu et bleu est complètement autonome de Microsoft pour l'opérer. quand bleu sera arrivé euh à cette question là est euh dans le pardon bleu est déjà là quand quand Bleu aura la qualification parce que vous avez un peu anticipé et voilà euh madame de Bilbao si dans les réponses que vous nous donnerez sur les Indiens et sur si vous pouvez aussi nous dire les services auxquels le juge Guillou pourrait avoir accès, ça on lui fera on lui transmettra ça lui permettra éventuellement de trouver des solutions et je dis pas ça méchamment mais si vous avez des solutions, on est preneur.

Monsieur Bonet euh merci monsieur le président. Euh je voudrais que on s'est pas mal promené dans les nuages de Travel Cloud, j'aimerais essayer de nous ramener un petit peu sur terre puisque derrière le matériel derrière le la dématérialisation, il y a bien du matériel informatique et donc vous n'êtes pas sans savoir que aujourd'hui on a de les besoins en tout cas les appels de puissance et de stockage sont de plus en plus importants. C'est pour ça d'ailleurs que vous l'avez évoqué, vous souhaitez développer les data center en Europe et j'imagine d'ailleurs aussi ailleurs.

Ce qui fait que tout ça ça a un impact environnemental grandissant puisque aujourd'hui on est déjà à 4,4 % au niveau de la pour l'empreinte de carbone de la France en tout cas du numérique et les prévisions qui ont été travaillées par l'ARSP ou LAADEM nous amènent sera un tendantiel horizon 2030 où on multiplierait par 3 l'empreinte carbone et par de l'empreinte énergétique. Alors que au contraire, il faudrait aujourd'hui quand même diminuer fortement l'empreinte carbone pour respecter nos engagements climatiques. Donc moi ce qui m'intéresserait de vous demander, c'est en gros qu'est-ce quelles actions vous entreprenez pour que le numérique l'IA qui consomme d'ailleurs aujourd'hui une grande partie de des puissances de stockage et de calcul du numérique pour que soit plus sobre en énergie et en ressources.

Et euh est-ce que vous avez envisagé de de vous appliquer aussi la démarche qu'a eu Mistral récemment de travailler sur une analyse du cycle de vie qu'elle a fait avec l'ADEM ? En tout cas, pour qu'on essaie d'avoir d'objectiver un petit peu plus en gros ce que chacun fait, les efforts que chacun fait ou ne fait pas pour diminuer son empreinte de carbone et ses consommations d'énergie. Et après au niveau des usages, si j'ai bien compris, vous représentez plutôt la partie cloud.

Donc vous n'êtes a priori pas censé savoir ce que font vos clients, même si vous êtes sûrement client vous-même de vos services puisque vous avez aussi vos propres services. Mais est-ce que vous sera capable de nous dire un petit peu d'un point de vue macro par rapport au services que vous hébergez quel part vont représenter par exemple un usage qui serait de service mail, un usage qui serait de service plutôt de type générative accessible au grand public de ce qui pourrait être de l'IA appliqué à la recherche ? J'ai entendu quelqu'un tout à l'heure évoquer la question de la recherche sur le cancer.

Euh bon, ça on est tous d'accord sur le fait que c'est c'est éminemment important. Par contre, quelle part ça représente vraiment sur les consommations aujourd'hui que peut représenter euh Liage Lia générative lié au sens large en terme donc de consommation de ressources et d'énergie, je suis pas convaincu que ce soit la plus grande part. Donc est-ce que vous êtes capable en tout cas et aussi le service de streaming vidéo par exemple de nous dire un petit peu sur toutes les puissances donc calcul et stockage dont vous disposez comment est-ce en fait est-ce qu'elles sont utilisées ?

Madame la rapporteur, sur ce sujet là aussi, vous avez des questions. Merci pour juste merci dans dans la suite et pour compléter peut-être notre connaissance de de vos activités. Euh peut-être déjà nous dire aujourd'hui dans les data centers, soit que vous avez déjà en France, soit que vous prévoyez de développer euh dans combien de ces data centers vous êtes finalement l'usasie unique et dans quel pourcentage vous utilisez la colocation. et peut-être nous dire deuxièmement sur les projets soit que vous développez en propre, soit les projets dont vous êtes actionnaire.

Euh quel est aujourd'hui la puissance de raccordement actuelle et la puissance de raccordement demandé pour les projets que vous envisagez de développer en France ? Donc la puissance énergétique. Merci Google.

Merci. C'est pas volontaire, c'est ma faute. Je vous ai coupé.

Merci monsieur le président. Merci au député Benet pour pour ces questions. Alors, il se trouve que Mistral n'a pas été le premier à faire cette analyse et ça a été salué mondialement.

Google euh quelques grands mois auparavant a analysé sur le modèle qui s'appelle Gemini exactement étape par étape la consommation énergétique et a mis en open source pour contribuer aux travaux mondiaux sur ces questions notre méthodologie pour qu'ussi elle soit discutée. Ça me permet peut-être de revenir sur la question de la science mais c'est aussi une des différences de Google en tant qu'acteur. Nous sommes nés d'un papier de recherche en 1998 qui était là pour essayer de classifier l'information sur le web pour la rendre plus disponible mais qui ne disait pas et on va vendre de la réclame avec.

Donc on on est un gros moteur qui est de la recherche et du développement. Et ensuite, une fois qu'on a fait des découvertes d'abord scientifiques de recherche fondamentale et je souhaiterais souligner que nous avons la chance d'avoir sur les deux dernières années trois de nos collègues qui ont reçu le prix Nobel. Le plus récent étant français Michel Dévor pour ses travaux sur le quantique.

Et Michel Dévor notre éminent collègue et le patron de la partie matérielle IA Cantique situé à Santa Barbara en Californie. Et il se trouve que c'est bien ces travaux de recherche fondamental euh des années 80 qui l'a mis en œuvre et en production pour aboutir à une puce qui est dénommée Willow et qui est une des premières puces quantiques. Donc la science est importante pour nous sur quand même le dire sur la partie intelligence artificielle.

Notre notre forge à modèle se situe à Londres. Elle s'appelle Google Deep Mind et son directeur général actuel ainsi qu'un d'autres de nos collègues et un troisème récipient d'air puisque un chercheur d'un laboratoire britannique a reçu ce prix Nobel de de chimie l'année dernière pour une base de données qui s'appelle Alphafold et qui a permis au génie de nos de ces chercheurs germano-iraniens de trouver le vaccin contre le Covid. Alpha Folt c'est quoi ?

C'est une base de données qui permet de prédire la forme d'une protéine et qui aujourd'hui permet d'accéder à 200 millions de formes de protéines. Plus de 65000 scientifiques français quotidiennement accèdent à cette base de données gratuite. Donc notre moteur, c'est de faire avancer avancer la science.

Et c'est ce qui a prévalu aussi sur cette méthodologie que nous avons mis sur la table concernant la consommation énergétique liée aux usages d'intelligence artificielle. concernant la question des infrastructures et des data centers pour ce qui est de Google Cloud sur le territoire français à date nous ne sommes pas propriétaires d'une infrastructure. Nous avons une région qui s'appelle la région cloud Paris qui est sur trois lieux de colocation chez les offreurs de colocation classique.

Je ne vais pas les citer, il n'y en a pas 150 sur la place. Et nous avons des projets de développement d'infrastructure en France. Il y en a un qui est public sur la communauté Châurou Métropole sur un un lieu qui s'appelle Osan.

À l'heure où on se parle, nous ne sommes pas encore propriétaires du terrain. Nous avons fait une promesse. Nous sommes allés jusqu'à la promesse de vente.

Il reste encore pas mal de de choses à lever sur la route. On a fini les études techniques sur le terrain. Donc je sais que il est majoritairement carstique.

On a fini la majorité des études environnementales. On a découvert qu'il y avait un batracien plutôt rare, en l'occurrence un crapau, enfin une population de crapau persiller. Et donc on a déjà un bureau d'étude qui réfléchit à comment est-ce qu'on va pouvoir traiter cette question.

Mais le point qui est important, c'est le fait que le 5 février dernier a eu lieu le premier comité de pilotage de ce projet de Google de centre de données sur Châurou Métropole. était présent à ce comité de pilotage l'ensemble des élus locaux, le département, la région et la présence de l'État. Ce comité de pilotage est sous la coprésidence du préfet de l'Indre.

Alors, il vient de changer maintenant. Nous avons une une préfette qui est arrivée il y a 1 mois et puis le deuxème coprésident est le président de Chaturou Métropole monsieur l'ancien ministre Gilaver. Et donc c'est dans le casre de ces travaux où étaiit présent aussi Enedis et RTE puisque il y a des infrastructures électriques aussi à développer autour de ce projet et nous avons fait le choix de d'aller de faire le processus d'une commission nationale du débat public.

Trois garants ont déjà été nommés. Les premières réunions auront lieu, on pense à la rentrée. Mais ce sont les gars qui ils nous ont fait comprendre qu'ils étaient qu'ils étaient jaloux de de leur prérogative sur ces questions.

Et donc ça veut dire que d'abord le comité de pilotage a eu accès et nous avons présenté l'ensemble de ce qui n'est qu'un projet puisque pour l'instant nous n'avons ni permis de construire ni terrain. D'accord ? Et donc ces informations, nous les avons partagé et le préfet demandé à ce que ce soit lui qui est la haute main sur l'ensemble de ce projet.

Je dois dire que les services de de l'État sont en fort soutien à tous les niveaux sur ce projet industriel. Et donc euh euh je propose de vous inviter ou de demander pardon aux deux coprésidentes de vous inviter au prochain comité de pilotage pour que vous ayez euh connaissance de tous ces détails. Mais je voilà, c'est ma proposition aujourd'hui.

Je vous remercie. Il y a quand même un détail particulier. On sait que la question de la puissance énergétique est essentielle et que et est même stratégique pour le développement des data centers.

Je crois qu'on parle d'un projet sur 190 hactar, mais ça me paraît si c'est ça parce que c'est un espace immense. Euh donc ça de enfin de manière, j'imagine que vous avez évalué à peu près la puissance énergétique que vous souhaiteriez pour nourrir cet espace. 195 hectares.

Vous avez raison madame la rapporteur et cette information est publique. On a un engagement avec la Commission nationale du débat public euh et donc on doit réserver la primeur de ces informations aux voisins, à la population berichon. Et donc c'est pour ça que je vraiment de la manière la plus simple, je souhaiterais vous inviter à ces travaux.

De la même manière que la préfecture nous a demandé de ne pas prendre contact en direct avec les asso notamment environnementales et que c'est la préfecture qui prend rendez-vous pour que nous puissions rencontrer aussi avec les concessionnaires avec RTE et Nedis euh les acteurs et tous ceux qui auront leurs mots à dire. Donc euh je je souhaiterais vraiment vous embarquer dans cette aventure avec nous parce qu'on a beaucoup à prendre de vous euh sur voilà et ça va être une première fois pour nous et on va se livrer à cet exercice euh de la manière euh la plus transparente possible. En tout cas, je je viendrai avec plaisir suivre ce projet pour AWS.

Oui. Merci monsieur député pour votre question. Je voulais revenir sur un point sur le cloud, vous parlez effectivement de l'impact l'impact environnemental du cloud et le besoin d'opération.

Effectivement, on a parlé beaucoup de logiciels dans les différentes dans les différentes auditions. Le cloud, c'est aussi un métier d'opération, c'est un métier énormément logistique et je tenais d'ailleurs à remercier nos équipes qui travaillent dans [grognement] les data center au quotidien. C'est effectivement des personnels qui sont la 247 pour faire tourner des infrastructures et et servir nos clients.

Euh on a un un modèle mental chez Amazon et d'ailleurs qui est je pense assez partagé. Euh on on voit le cloud comme le transport en commun de l'infrastructure. Et donc effectivement les clouds ont besoin d'avoir plus d'infrastructure, plus de présence.

Mais euh pour nous euh acteurs du cloud et tous les acteurs du cloud, l'efficacité énergétique est non seulement un impératif éthique et et personnel fort pour nos équipes, mais aussi un un enjeu commercial assez important. [grognement] Je voulais revenir sur quelques chiffres. L'efficacité d'un data center de type cloud moderne tel que ceux que nous que nous pouvons opérer et déployer est jusqu'à 4,1 fois plus efficace qu'un data center traditionnel euh d'une entreprise actuelle.

Donc dans les travaux effectivement sur l'extension du numérique, il y a aussi tout un pan euh de cette de ce travail qui est aussi une modernisation des infrastructures. Euh il y a eu d'ailleurs dans une des des auditions qui a eu lieu hier effectivement une amélioration euh conséquente du nombre de d'opérations de calcul par watt utilisé au sein des data center. Donc effectivement, on est sur des infrastructures modernes, des infrastructures performantes.

Il y a il y a il y a un il y a une manière de le calculer qui s'appelle le PUE. Donc c'est une norme internationale de power usage effectiveness. Un data center traditionnel va être un tout petit peu plus de 1,6.

Donc le truc c'est utiliser 1,6 W d'énergie pour pouvoir fournir 1 W d'infrastructure. En moyenne mondiale AWS est à 1,15. Euh en Europe, on est à 1,04.

Euh donc effectivement, on a un gain significatif sur cette sur cette manière de faire. On travaille aussi depuis de nombreuses années à la fourniture d'infrastructures et de processeurs qui sont moins gourmands en énergie. Euh donc chez AWS, on a une puce qui s'appelle Graviton qui est une une infrastructure enfin une puce développée par AWS qui permet d'avoir des gains d'énergie jusqu'à 60 % par rapport à une puce traditionnelle sur le marché.

Donc pour nous effectivement dans les infrastructures et dans les investissements, euh limiter au plus possible l'impact environnemental euh est vraiment un élément clé. Deuxème élément, la neutralité carbone. Euh AWS a pris un engagement euh d'atteindre la neutralité carbone en 2030.

Euh il se trouve qu'on a atteint cet engagement 7 ans avant euh le le la date la date prévue. Euh l'objectif euh désolé, je me suis trompé, c'est pas c'est la neut le le la génération d'énergie 100 % renouvelable pour nos infrastructures. C'est pas là sur la sur le sur la sur la trité carbone, on a aussi pris un engagement qui est 10 ans avant les engagements de Paris, donc 2040 au lieu de au lieu de au lieu de 2050.

Mais donc sur les énergies renouvelables effectivement 100 % d'énergie renouvelable atteinte en 2023 7 ans avant notre objectif de 2030 pour fournir de l'énergie renouvelable à nos infrastructures pour l'ensemble des activités cloud. [grognement] On parlait des des modèles d'intelligence artificielle. Effectivement on fournit et les modèles vont avoir une partie entraînement et une partie une partie inférence. dans les premières années, l'entraînement était la plus grosse la plus grosse valeur de consommation pour les pour les entreprises.

On voit que maintenant avec la généralisation des agents effectivement la partie inférence devient de plus en plus intéressante et importante en terme de consommation [grognement] pour les entreprises. De la même manière que nous le faisons depuis 20 ans pour les infrastructures traditionnelles, nous avons développé des infrastructures spécifiques qui permettent d'optimiser la consommation énergétique des des différentes des différentes infrastructures. Encore une fois, le but c'est d'avoir le plus de capacité de calcul pour le moins de W consommé.

C'est vraiment pour nous un enjeu un enjeu essentiel. Vous parliez effectivement de la de la position et du nombre de data center. Alors, il se trouve que AD dat AWS n'opère pas de data center en propre.

Vous posiez la question ou l'un de vous posez la question sur les data centers en colocation ou les data centers en propre. ADAT à WS opère 15 data center en colocation, pas en propre en France. euh [grognement] qui nous donne effectivement où on n'est pas le locataire unique et donc on travaille avec comme j'ai dit dans mon proposiminaire un ensemble d'entreprises du territoire français euh pour les aider à se développer aussi.

Merci pour Microsoft. Oui. Bon sur sur les sujets environnementaux euh Microsoft a pris aussi de nombreux engagements et je crois qu'il faut les les prendre de différentes manières.

D'abord sur la neutralité carbone et être carbone négatif d'ici 2030. Il y a un sujet important qui est effectivement le fait que depuis la fin de l'année dernière tous nos data centers toute notre consommation est alimentée par des énergies renouvelables. Je pense que c'est aussi important en terme d'écosystème de d'expliquer que ça contribue beaucoup aussi au développement de la filière des renouvelables et en particulier beaucoup d'acteurs français peuvent bénéficier de cette filière.

Euh, on a aujourd'hui 40 GW de ce qu'on appelle les purchases power agreement, c'est-à-dire des contrats à long terme de de renouvelable dans le monde. Et en France, on a une vingtaine de projets notamment avec des avec des acteurs avec des acteurs français sur sur la la filière renouvelable. Lorsqu'on regarde aussi les engagements environnementaux, il faut regarder aussi les engagements en terme d'eau, de consommation d'eau.

Donc aujourd'hui, dans les nouveaux data center, il y a un circuit fermé. Donc une fois qu'on met l'eau, elle est voilà, elle est elle est en circuit fermé et donc on ne on ne consomme pas d'eau extérieure. Ça c'est très important dans la dans les travaux qu'on a fait pour la consommation d'eau.

Et ensuite il y a le sujet des déchets. Euh et aujourd'hui depuis fin 2024 90 % de nos déchets sont recyclés. Enfin des serveurs sont recyclés.

Donc on a des centres de recyclage, on en a h dans le monde, on en a un à Amsterdam. Et ça ça participe effectivement aux objectifs environnementaux. En ce qui concerne les data center en France, donc notre modèle c'est un modèle de de leasing pour les pour les régions existantes.

Donc nous avons aujourd'hui trois régions avec Paris, Paris et Marseille et nous nous sommes engagés dans le cadre de Chous France à un sur un data center à Petit Landu donc dans l'Est de la France. Aujourd'hui, donc c'est à peu près 35 à 37 hectares. On a fait les présentations publiques de présentation publique.

Je suis moi-même à la Mulouse en novembre dernier. Euh donc le processus puissant cours après, c'est des projets qui prennent beaucoup de temps hein de mettre en place des datas center. C'est aussi euh ça participe aussi à un écosystème local important puisqu'il y a effectivement beaucoup de travaux préparatoires. plus de 40 métiers quand on construit un data center qui participe à la à la construction à la logistique et ensuite quand il est maintenu, c'est une c'est de 20 à 25 métiers aussi sur des sur des techniciens de la maintenance.

Donc ça participe aussi à de l'attractivité du territoire. Donc voilà sur Petit Lando, on est c'est un processus qui est en cours qui est en cours pour pour Microsoft. Euh ensuite, je pense que vous aviez une question sur euh donc on a parlé euh la question sur euh sur la la partie euh mesure.

Peut-être que Philippe tu pardon Oui. D'abord sur la partie sur la partie consommation, ce qui est important c'est que bah chaque client a des modèles de consommation différents et le premier point c'est la transparence. Donc, on fournit à nos clients des tableaux de bord de consommation carbone notamment sur l'ensemble de des services qu'il qu'ils utilisent et nous avons des des travaux [grognement] réguliers avec eux pour voir comment améliorer cette consommation.

Toujours retrouver l'équilibre entre l'innovation, la productivité, le gain pour pour l'entreprise ou l'établissement public et cette consommation. de nombreux protocoles, mécanismes diffusés en open source, en libre service également pour accompagner ces éléments, y compris très bas niveau parce que ça commence souvent par le développement logiciel. Il faut faire des des logiciels qui soient plus fruux.

Euh sur le la partie consommation, on fait énormément de recherche et développement également. On a un rapport donc de puissance d'à peu près 1,16 au niveau mondial. Donc les dernières générations de data center sont en circuit fermé d'eau, on l'a dit.

Euh on fait beaucoup de travaux sur notamment sur la partie intelligence artificielle mais pas uniquement. Euh on a des puces également développées pour certaines phases qui étaient plus consommatrices sur la partie intelligence artificielle euh dont certaines ont des mécanismes de refroidissement. Il y a des microcanaux qui sont à l'intérieur du processeur.

C'est un processeur, c'est des couches et on a directement plutôt que de mettre un radiateur sur le processeur euh du liquide qui coule à l'intérieur du processeur pour pour consommer moins et surtout qu'il dissipe moins de chaleur et donc il ait moins de besoins de de refroidissement par ailleurs. Ensuite, beaucoup de travaux sur le la partie allongement de durée de vie à la fois des postes et des et des serveurs et de l'ensemble des systèmes en en faisant ce qu'on appelle de la de la ségrégation. on est capable de de décomposer en fait un serveur traditionnel et de mettre des équipements euh par exemple tous les systèmes de stockage d'un côté, tous les systèm de puce graphique de l'autre, ils ont des températures et des hygrométries de fonctionnement différents.

Et donc plutôt que d'avoir tout le monde dans la même pièce avec un un niveau pour le le plus exigeant, on vient on vient le faire de façon spécialisé, ce qui permet d'allonger la durée de vie des équipements et donc d'avoir moins à consommer également de terres rares et de matériaux parce qu'on sait que la l'impact l'impact est est très en amont. Euh également sur euh le le bâti de du data center, on a euh une expérimentation en cours avec des des murs, des cloisons de data center qui sont en bois euh pour remplacer le béton. Par ailleurs, on travaille notamment avec des acteurs français euh à utiliser l'intelligence artificielle qui a beaucoup de de d'impact sur euh l'amélioration de l'impact environnemental, par exemple pour travailler sur du du béton moins moins carboné.

On fait beaucoup de travaux également avec cette intelligence artificielle pour découvrir de nouveaux procédés de fabrication, aider nos clients par exemple à consommer moins d'eau dans des processus de fabrication industrielle classique. Il a des des endroits où on consomme beaucoup d'eau, beaucoup d'énergie dans des fours par exemple. [grognement] Des travaux également sur ce qui va être élément perpétuellement nuisible l'épiface.

Donc on a par exemple utilisé l'intelligence artificielle pour faire un liquide de refroidissement pour data center euh qui ne contient pas de piface. Euh et ça on l'a fait en quelques semaines avec un système d'intelligence artificielle là où les chercheurs [grognement] essayaient de trouver une solution depuis depuis 15 15 20 ans. Euh on a appliqué l'intelligence artificielle également pour aider un client à trouver une nouvelle batterie solide avec 70 % de lithium en moins que les batteries traditionnelles.

Et cette batterie, elle est plus performante que que les batteries précédentes. Voilà. Donc il y a énormément de d'éléments sur lesquels on travaille et je voudrais préciser aussi que l'ensemble de la chaîne matérielle de Microsoft est diffusé depuis le début dans un un en libre service dans au travers d'un mécanisme qui s'appelle Open Comput.

C'est que les spécifications de tous nos serveurs depuis le silicium et là on travaille avec des fondeurs à part l'exemple que je donnais tout à l'heure euh jusqu'aux couches les plus hautes. Le design de nos data centers, le design de nos serveurs sont en libre service sont sont diffusés. Donc toute l'investissement qu'on fait en RD également, on le remet à disposition de l'ensemble de la communauté pour pouvoir bénéficier de ces de ces innovations et contribuer à à un meilleur impact plus positif sur la planète ou en tout cas moins négatif.

Merci beaucoup. Je vois le temps qui passe et donc pour garder des questions sur des échanges peut-être un peu plus rapides, il y a un nombre de sujets qu'on a pas abordé pour lesquels je vous demanderai si vous le en êtes d'accord de contribuer par écrit sur ça. On n pas parlé de nitro par exemple pour AWS qu'on puisse comprendre parce que on l'a évoqué tout à l'heure, on l' mais on l'a pas développé et ça prenait trop de temps de le développer maintenant.

Donc on serait preneur de d'une note détaillée sur Nitro. C'est valable aussi pour euh Google et Microsoft sur la sur la question de des clés de chiffrement, où est-ce qu'elles sont stockées, comment est-ce qu'elles fonctionnent. On pas y passer 25 ans ici parce que c'est pas le sujet.

Mais bon, je pense que contrairement à ce que dit Brad Smith, on n'est pas suffisamment bête pour pas comprendre. Donc, on va peut-être pouvoir réussir en le lisant. Et pour AWS, c'est une question quand même sur lequel j'aimerais bien là aussi une contribution écrite euh parce que vous avez un modèle totalement différent de vos deux voisins puisque eux ont développé des solutions avec des entreprises françaises pour faire du cloud souverain.

Vous avez annoncé qu'il y avait du AWS souverain. On est aussi dans la question du souverain wasing et donc on voudrait bien comprendre, c'est qu'est-ce qui se passe quand sur le sur la partie du kill switch si jamais les États-Unis vous demande d'arrêter de fournir votre service, comment cette société là fonctionne et jusqu'où on va ? Est-ce qu'on va jusqu'à la nationalisation ?

Est-ce que c'est prévu dans les contrats ? La nationalisation des murs, des infrastructures enfin comment ça fonctionne pour de vrai ? Euh au cas où improbable selon Microsoft, il y a un kill switch généralisé.

Mais bon, faut quand même qu'on se mette dans cette positionlà. On est là aussi pour anticiper les choses. Donc on aimerait bien avoir une une explication de comment ça fonctionne parce que vous n'avez pas ce modèle là de de co-entreprise avec des entreprises en tout cas de fourniture du logiciel.

Voilà. Madame la rapporteur pour une autre cette question. Euh merci et peut-être un élément de précision sur le le modèle d'Aws souverain. parliz des murs aussi la question des contrats parce que moi de ce que je comprends c'est des salariés en Europe mais qui sont salariés de WS ou peut-être que j'ai mal compris mais peut-être nous justement enfin nous remettre tous les éléments dans la note juridique contrat et cetera mais voilà comme ça qu'on est l'ensemble des qu'on voit la chaîne de décision enfin et de de décision et de et de direction peut-être alors ça sera dans la même dans sur globalement le même sujet Alors même si on aura peu de temps pour rentrer sur cet aspect technique.

Peut-être un, on a beaucoup parlé de données chiffrées, peut-être avoir une idée. Alors, je pense que ça dépend du type de service que vous rendez, mais j'imagine que 100 % des données que vous stockez ne sont pas chiffrées. J'imagine que les données, j'imagine les échanges mail, les Google Docs, non mais c'est une vraie question.

Est-ce que c'est chiffré ou pas ? Et si c'est chiffré par qui ? Voilà, c'est-à-dire qui a la clé de chiffrement.

Donc la question c'est est-ce que 100 % des données sont chiffrées et si elles sont chiffrées euh par qui elles sont chiffrées ? Parce que ça fait partie des services que que vous rendez, c'est pareil, vous pouvez euh peut-être ça sera un peu long nous donner première réponse mais peut-être des réponses par euh par écrit. Euh donc savoir effectivement dans les ou euh là si c'est court hein, mais en tout cas savoir qui chiffre euh les données euh qui sont stockées euh euh dans euh dans vos infrastructures euh sur tout ce qui va être infrastructure souveraine.

Euh donc que ça soit sens, que ça soit bleu euh sur AWS, on n'est pas sur le même modèle mais en tout cas sur les structures dit hybride. Est-ce que les équipes françaises ou européennes ont accès au code ? C'est dire qu' ce qu'elles peuvent les regarder.

Euh deuxème question euh on parle beaucoup effectivement de kill switch et le kill switch c'est la question de la mise à jour. J'avoue que pour quelqu'un comme moi qui suis pas spécialiste, maintenir un cloud de ce type là, c'est combien de mises à jour ? C'est une mise à jour tous les ans, c'est une mise à jour toutes les semaines ?

C'est 15 mises à jour par jour. Je avoir une idée de combien de mises à jour on parle. euh est-ce que toutes ces mises à jour sont euh euh dire comment ça se passe ?

C'est-à-dire est-ce que vous avez des équipes ? Moi, de ce que je comprends, c'est pas le cas, mais je vous pose la question, est-ce que c'est des équipes qui prennent la main, c'est-à-dire vos équipes sur l'infrastructure ? Est-ce que c'est des éléments de code que vous envoyez aux équipes euh françaises qui les installent ?

Et donc combien euh d'où la question de la fréquence et de la et de l'opérabilité ? Et la dernière question, c'est finalement en combien de temps pour vous il faut réagir ? C'est s'il y a pas si justement la mise à jour n'est pas faite, j'imagine que si elle est faite, c'est qu'il y a une potentielle de faille.

Combien de temps est-ce qu'il faut pour que cette faille soit exploitée ? On parlait de cybersécurité hein, ça a été dit, il y a de plus en plus de cybersécurité. On a Lancy nous disait que maintenant il faut 5 jours à peu près pour qu'une faille soit identifiée et exploitée.

Euh non mais c'est donc ça nous intéresse. On a même eu d'autres professionnels qui nous faisaient 24 he donc avoir une idée pour vous du moment où il y a une faille euh si la mise à jour n'est pas faite en combien de temps celle-ci peut être exploitée par de la cyberattaque ? Ouais.

Donc ce qu'on on sera preneur donc effectivement dans la note aussi sur la question parce qu'on va peut-être pas l'aborder là maintenant de du chiffrement au repos et en en traitement parce que c'est totalement différent et si vous avez du chiffrement homomorphe, je suis preneur de des solutions de chiffrement homorphique mais j'ai pas l'impression que ça existe encore vraiment totalement. et on sera prenur aussi des réponses aux questionnaires qu'on vous avait envoyé parce qu'on a'ura pas le temps d'aborder toutes les questions sur le sujet mais parce que le temps file plus vite que prévu et que voilà mais ça vous empêche pas de commencer à répondre à à la rapporteur sur les quelques éléments un peu ben Google très motivé. Merci de ces questions madame la rapporteur et monsieur le monsieur le président.

Euh Talès dit publiquement qu'il a accès au code. Lancy est venu vous le confirmer. Voilà, je ne peux que le confirmer et autrement ce serait pas possible.

Enfin, il y aurait pas le niveau de confiance qui exige ce label de cloud de confiance. Euh comment est-ce que ça pass ça se passe les mises à jour ? Euh alors, on parle d'une zone de quarantaine, je vais essayer de le dire le plus simplement possible.

C'est un serveur sécurisé où Google vient déposer soit une mise à jour, soit un nouveau service puisqu'il y a des services qui vont se surajouter et c'est aussi ce que Tales a annoncé, c'est-à-dire que la gamme d'offre va s'enrichir au fur et à mesure du temps, notamment avant la fin de l'année avec toute la partie intelligence artificielle de de GCP, de Google Cloud Platforme. Et donc une fois que nous Google Cloud on a déposé notre mise à jour ou notre nouveau service dans ce serantaine, ensuite bah on sait pas ce qui se passe hein. C'est c'est tout l'objet du Secnum Cloud, c'est de nous tenir à distance hein.

Il faut imaginer quand même cette maison dont on détient 5 %. On n pas le droit d'y entrer, on n pas le droit de sonner et on ne pourra jamais y entrer. C'est quand même un modèle.

Et puis avant, on nous a demandé de nous mettre à nu. On nous a regardé sous toutes les coutures. Voilà, c'est quand même pour expliquer.

Oui. Oui. Mais l'intérêt, il est assez simple, c'est que du coup, on est le seul hyperscaler, je vous remercie de votre question madame la rapporteur.

On est le seul hyperscaler qui peut dire aujourd'hui à ses clients, vous voulez du Secnum, ce sera pas avec nous, mais on sait faire sur les mêmes architectures, les mêmes logiciels et le client est capable de dire alors ça c'est du sensible, pas du sensible, du moyen sensible. et il distribue en temps en temps réel ses charges de travail sur avec des équipes d'ingénieurs qui ont appris la même chose, avec une console d'administration qui est exactement la même. C'est ça la puissance du modèle sens, c'est qu'on peut faire le choix et quand on peut aussi modifier au fur et à mesure la qualité la le niveau de sensibilité de sa donnée, c'est un choix personnel.

Donc bah Talè vient ensuite expertiser et là c'est euh LANY qui vous l'avait dit aussi en audition euh oui il y a des mise à jour, elles sont continues et plus il y a de services, plus il y a de mise à jour et de la même manière qu'on parle de contin continuum de cyberattaque, il y a un continuum de de mise à jour. C'est c'est le flux, il est il est continu. Et donc ça veut dire que Talè a dimensionné ses équipes d'ingénieurs.

Et c'est pour ça que je vous je vous le disais dans mon proposiminaire. Combien d'acteurs ont des équipes d'ingénieurs suffisamment expérimenté mais aussi en nombre pour pouvoir accepter euh pardon accepter prendre cette cette charge de travail et puis ça veut dire que sur le chemin Talis apprend et il y a une courbe d'apprentissage et il est probable que euh au fur et à mesure Talè et d'autres envies. Et donc dans le modèle, il faut vous compreniez que dans le modèle sens et ça nous on n'y a pas accès donc on ne sait pas mais c'est que les discussions qu'il y a eu entre et ils ont mis des surcouches de sécurité autour de toutes nos solutions.

Donc euh là c'est Talès qui pourrait vous répondre sur sur ces questions. Qu'est-ce que j'ai dû oublier ? Et Talè a pris l'engagement sur le modèle sens de 12 mois.

Personne ne dit que ce sera simple mais Talè a pris publiquement l'engagement de maintenir la solution en cas de problématique de mise à jour sur 12 mois. Oui, votre merci votre micro. Euh pardon, je Alors, il y a les engagements de Talis, j'imagine que vous êtes des spécialistes du sujet.

Je dis, on a eu plusieurs euh témoignages sur cette questionlà de votre avis d'expert une fois qu'une faille est identifiée euh par défaut de mise à jour ou parce que des failles se créent ? S'il y a des mises à jour, c'est qu'il y a des failles qui se créent. Euh il y a combien de temps avant qu'elle soit exploitée ?

Il y a différentes types de vulnérabilité. Il y a celle qu'on appelle les zé D. Donc et là il faut agir très vite.

Et donc là typiquement une fois que les équipes Google ont découvert une faille zé D solutions et nos services ou qui a un impact sur nos solutions et nos services, on patche, on envoie le patch ou la la mise à jour dans ce cette zone de quarantaine et ensuite c'est Talès qui décide seul de la mise en production. Donc c'est Talè qui soit met plus d'ingénieurs pour que ça aille plus vite parce qu'il considère que c'est plus important, plus crucial. Euh c'est c'est on on n' pas la main là-dessus.

Je traduis zéro D, ça veut dire immédiat, ça veut dire attention danger. Si cette faille là n'est pas corrigée, il y a un risque pour la continuité de service. Tout à fait. pour Microsoft ou AWS sur les questions.

Je je peux juste commencer d'introduire et Philippe continuera. Je voudrais pas que la commission reste sur l'impression qu'il n'y a pas de concurrence. Il y a une concurrence hein que ce soit sur le Seum Cloud ou le cloud public hein.

Même si Google se positionne en tant que challenger, il y a un vrai concurrent chez les clients. Il y a une très très grosse concurrence. Euh c'est bien qu'il y ait une concurrence aussi sur le singum cloud.

Donc bleu est là pour bleu est là pour assurer cette concurrence et c'est la il y a pas du tout de lien capitalistique du coup c'est un modèle un peu différent et la différence aussi c'est que ça englobe le cloud et la suite collaborative donc autrement dit office c'est-à-dire que c'est pas seulement le cloud mais aussi les outils collaboratifs. Donc ça c'est ça c'est important à préciser parce que c'est un peu différent et je pense que c'est le bleu est le seul acteur à proposer ça. Après sur la continuité, je propose de laisser la parole à Philippe qui va vous expliquer plus simplement comment comment la continuité et les mises à jour sont assuré.

Oui. D'abord sur la question des données, votre première question 100 % des données, depuis l'origine de de des mécanismes Microsoft, 100 % des données, y compris sur les postes de travail sont chiffrés au repos. 100 % des données en transit sont chiffrées systématiquement.

Alors, il y a chiffré, donc il y a des il y a des hiérarchies de de clés de chiffrement. Euh et au sommet de cette hiérarchie, le client, il peut avoir une clé managée par le client. Et à ce moment-là, c'est le client qui est le seul détenteur de la clé d'entrée.

Si le client perd sa clé, il perd ses données. Ces clés, elles sont euh soit stockées dans un coffre avec un mécanisme de calcul confidentiel et on on se fournit auprès de trois fournisseurs différents qui nous empêchent complètement physiquement, techniquement d'accéder à la clé. Même si on tentait d'accéder physiquement à ce coffre, la clé à ce moment-là, elle est bloquée.

Donc personne chez Microsoft n'a accès ni aux données quand on fait du support, on n'accède pas au plans de données. On a des mécanismes également de de serveur d'isolation systématique dans tous nos serveurs pour empêcher quelqu'un de Microsoft d'accéder à ces données. Ce calcul confidentiel, il a été inventé par Microsoft, un laboratoire de recherche en 2014 et on a des services opérationnels dans Azure depuis 2017.

Et ça ne s'appuie pas sur un chiffrement homomorphique. Ça s'appuie sur ce qu'on appelle une racine de confiance matérielle. Donc on travaille [grognement] puisqu'on a une plateforme ouverte qui s'appuie sur des standards.

Euh l'ensemble de ces spécifications depuis 2017 18 sont dans un consortium de calcul confidentiel qui est open source en libre service. Euh tous nos codes euh d'attestation de signature associé à ces services de chiffrement. Donc il chiffre au-delà du transit et de et de et de et du repos puisqueil chiffre l'ensemble des mécanismes de traitement.

Il protège les codes logiciels, la propriété intellectuelle de nos clients et l'ensemble des traitements. Et seul à l'intérieur du processeur, le le bus de traitement du processeur a accès à la donnée en clair. Il y a tout un mécanisme qui permet également de protéger des attaques pour venir au sujet qu'on appelle les attaques de supply chain.

C'estàd que ces mécanismes là avant de libérer la clé par exemple que le processeur puisse avoir accès à au traitement, il y a un ensemble de vérifications qui sont fait. Si la version du firmware ou la version du logiciel du client n'est pas celle [grognement] qu'il a prévu, le système se bloque. Donc ça pour prévenir tous les attaques liées à à la chaîne d'approvisionnement.

Puisque un système cloud est un système complexe, on a les de tiers de nos services qui sont basés sur des logiciels open source également par ailleurs. Concernant les mises à jour, les attaquants sont de plus en plus performants. Et donc ces ces vitesses de d'exécution ou de mise en œuvre de vulnérabilité sont variables mais de plus en plus rapides.

Cependant, ces vulnérabilités sont de plus en plus complexes et nécessitent en fait des petits pas. Donc on n'est pas sur un une grande porte ouverte, on est sur un ensemble d'éléments qu'il faut activer. Et donc au-delà de des mise à jour, il existe des mécanismes de défense en profondeur qui permettent de bloquer.

Il suffit de bloquer l'un des maillons de cette chaîne de 5, 10, 15, 20 petits pas pour bloquer la vulnérabilité. C'est pas parce qu'on trouve une vulnérabilité dans un code qu'elle est exploitable. Donc, il y a beaucoup de vulnérabilités qui ne sont pas exploitables et cette chaîne de d'action complexe, elle est défendable également sans faire de mise à jour de logiciel.

Euh donc bleu et je vous laisserai interroger bleu sur les détails parce que je je n'ai évidemment pas les détails d'implémentation de bleu. Euh ce que je peux vous dire c'est que quand il y a pas de mise à jour et c'est le cas dans beaucoup de data centers traditionnels, évidemment les systèmes ne s'arrêtent pas du jour au lendemain euh et que dans le cadre d'un bleu par exemple les délais avant que les risques deviennent suffisamment importants se contrait en semestre. Pardon, juste besoin d'une demande de prison.

Vous nous avez dit sur les données, le chiffrement qui avait finalement le haut du spectre qui était chiffré par le client et stocké hors de finalement dans des espaces sécurisés. juste pour avoir une idée d'une grande de grande masse euh le la quelle est un peu en gros ceux qui sont chiffrés par vous, ceux qui sont chiffrés par le client mais qui sont dans des services non sécurisés et cecé de comment ça se réparti des données stockées. Les données accessibles sont les données stockées et ces clés là, elles sont disponibles pour l'ensemble de nos de de services utilisables par les clients.

Et ensuite, il y a les services également Azure local qui permettent d'avoir la même chose mais en propre et là il y a aucun accès mais les opérateurs Microsoft n'ont absolument aucun accès. Il y a des mécanismes de double chiffrement également qui sont à disposition des clients et puis le mécanisme de calcul confidentiel. J'ai j'ai pas dû bien m'expliquer globalement.

Par contre combien de vos clients en gros combien de vos clients utilisent ce type de de chiffron juste pour avoir une grande masse sur la masse des données ? J'imagine que globalement quelqu'un qui enfin c'est c'est pas alors vous avez quand même aussi un certain nombre de services qui sont liés à des usagers. Je je croise rarement des gens qui m'ont dit "Attends, j'ai écrit à Microsoft pour garantir que j'ai une donnée de sécurisé." Donc juste pour voir globalement au pourcentage combien de clients demandent ça et en masse je n'ai pas le chiffre, c'est un service qui est gratuit pour les clients et c'est à la main du client de mettre en œuvre ses systèmes.

Par contre, dans tous les les échanges qu'on a et les conseils qu'on a, on leur parle du système et et de sa mise en œuvre. Euh et on a également ce qu'on appelle une une architecture de souveraineté dans lequel ce service donc il y a les politiques qui permettent d'appliquer systématiquement à 100 % pour l'ensemble des services qui seraient utilisés par le client. Euh ce mécanisme notamment de clé chiffrement, il y a d'autres mécanismes de protection euh qui permettent donc encore une fois de ne pas livrer ou de ne pas lancer ou ne pas exécuter un service par exemple si cette condition n'était pas mise en œuvre.

Merci à WS. Merci merci pour votre question. On va pas vous faire une présentation de nitro détaillé effectivement ce serait beaucoup trop long.

Néanmoins juste un un mini élément sur Nitro. Effectivement, ça permettre par défaut pour tous les clients quand ils lancent des infrastructures de manière gratuite de bénéficier d'une isolation de leurs données en traitement, de leur données en transit et de leurs données en repos qui sont soit chiffrés, soit complètement isolés avec aucune capacité pour les opérateurs d'y avoir accès. On reviendra vers vous bien entendu de de manière beaucoup plus beaucoup plus détaillée.

Vous posiez la question de quel pourcentage des données sont chiffrées ? 100 % des données pour l'ensemble des clients de manière gratuite. Quand vous utilisez un service à WS, le chiffrement est actif par défaut sur pas effectivement par des clés qui sont gérées par AWS.

Je n'ai pas la proportion de clients qui effectivement ont et opère eux-mêmes des HSM, des boîtiers de sécurité ainsi que que le présenter [grognement] mes collègues tout à l'heure. Je je n'ai pas cette proportion. On verra effectivement ce qu'on est ce qu'on est capable de de vous de vous fournir.

Euh il y avait une question effectivement sur le le modèle euh de souveraineté. Alors effectivement, on a un modèle qui est un petit peu différent des [grognement] des modèles des modèles des autres entreprises. Euh on a formé des ingénieurs et on a fait un transfert de technologie avec des équipes européennes qui sont sur le sol européen, qui ont accès à 100 % du code source qui ont la capacité de le maintenir et de le déployer et de le maintenir sur la durée.

Donc c'est ça fait vraiment partie des statuts de l'entreprise et de la manière de créer. On a créé une entreprise qui gère les clés de sécurité sur le sol européen. Donc ce que ce qu'on disait tout à l'heure dans les propoliminaires, à la fois d'un point de vue technique, d'un point de vue organisationnel et d'un point de vue gouvernance, nous nous sommes assurés que le droit en l'occurrence allemand mais le droit européen reste effectivement le le premier élément qui sera appliqué par les entreprises.

Euh [grognement] combien de mises à jour sont faites par an, par jour ou enfin par mois ou par jour ? C'est beaucoup de mises à jour chaque jour. Euh effectivement sur l'ensemble de nos services, on a plus de 200 services, même sur le cloud souverain européen, c'est plus d'une centaine de services.

Effectivement, c'est énormément de mises à jour. Euh et pour certaines de ces mises à jour, comme ça a été remonté, ce sont des mises à jour critiques qui sont nécessaires pour garantir la sécurité des infrastructures. Euh donc le but, c'est de pouvoir quand même avoir ces éléments tout en maintenant une capacité opérationnelle des équipes en local à savoir ce qui se passe, à pouvoir auditer et à pouvoir garantir cet élément.

Je reviendrai juste effectivement euh on n'a pas de chiffre momorphique largement disponible. Euh on on aimerait tous cela je pense. Euh mais en combien de temps une une vulnérabilitéelle est-elle utilisée ?

Euh les dernières vulnérabilités on le voit, ça s'accélère de plus en plus. La réponse c'est quasiment dans la journée. Euh un système cloud, c'est pas juste une infrastructure et c'est là une des vraies grandes différences avec les infrastructures en prémisse.

J'en parlais dans mon dans mon proposiminaire. On analyse chaque jour 400000 milliards de flux réseaux. Le but c'est qu'effectivement quand on va travailler sur une infrastructure comme un WS, on n'est pas tout seul avec sa machine et une vulnérabilité qui arrive.

On a bien en fait la capacité d'Amazon en terme de enfin d'Amazon Web Services en terme de sécurité. On travaille avec les autorités, on travaille avec l'ANC, on travaille avec les autorités européennes pour aussi avoir les meilleurs niveaux de qualité. Ce qui permet à toute entreprise, même des PME qui n'ont pas les moyens d'avoir des équipes de sécurité renforcé finalement de bénéficier de investissement.

Donc on voit vraiment le cloud comme étant un enjeu et un accélérateur de la sécurité. Merci. Merci.

Vous voulez rajouter un un très court parce qu'on est vraiment très très court. Merci beaucoup monsieur le président. Juste pour faire le lien aussi avec cette aventure industrielle qui est sens entre entre Google et Talè, on s'est rencontré justement sur cette question du chiffrement en 2019. euh parce que l'autonomie stratégique est n'est pas un sujet nouveau.

Et il se trouve que nous souhaitions, nous étions à la recherche d'un système de chiffrement euh qu'on appelle aujourd'hui EKM pour external key management, c'est-à-dire gestion des clés externalisées et c'est Talè qui a été le premier en fait à nous fournir ce service et c'est comme ça qu'on s'est rencontré et qu'ensuite a commencé l'aventure sens. Et donc ça veut dire qu'aujourd'hui tous nos clients ont accès à cette solution EKM qui est externalisée et c'est eux qui font le choix de l'endroit où sont ses clés. Oui, elles peuvent être aussi chez nous mais c'est le choix du client ou alors elles peuvent être chez un partenaire.

Le premier d'entre eux en France étant à mais on en a plein à travers la planète qui sont l'endroit où notre client final vient déposer sa clé de chiffrement pour garantir le fait que nous n'ayons nous puissions pas la lire la donner. Merci beaucoup madame le rapporteur pour le question. Juste pour être bien d'accord, vous nous parlez de vos clients, j'ai envie de dire professionnels.

Google étant un service qui concerne je crois bien plus largement que les entreprises tout à fait. Là, on parle de Google Cloud Platform, donc la partie service aux entreprises, mais on a une autre solution qui s'appelle client Side encryption, donc chiffrement du côté du client pour les services grand public et qui a déjà été étudié par pas mal d'experts de la place. Et c'est une cette technologie par exemple n'existe pas chez les autres.

Merci. Le le temps fil, on a on a débordé largement et on a une audition qui suit. Merci de de vous être rendu disponible.

On attend donc un sombre de documents de votre part et compris la réponse au questionnaire. avec notamment la question qu'on a pas abordé de pourcentage de valeur de choses comme ça qu'on a pas eu le temps d'aborder mais euh on vous remercie par avance de nous les fournir et je suspends la séance. Merci.