Le 8 juillet 2026, la commission d’enquête de l’Assemblée nationale « sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France » a rendu son rapport n° 3054. Présidée par Philippe Latombe, avec Cyrielle Chatelain pour rapporteure, elle a interrogé les administrations par questionnaire et chiffré ce qu’elles paient à leurs éditeurs. Sur son périmètre, les produits Microsoft ont coûté 115 millions d’euros en 2025.
Le 7 mai, devant la même commission, le chef du service des systèmes d’information de la direction générale des finances publiques (DGFiP), Tomasz Blanc, avait mis un prix sur 2 dépendances héritées : 4,5 millions d’euros en 2025 pour les serveurs IBM Z qui font tourner le calcul de l’impôt, 8,5 millions d’euros par an pour Oracle. Sortir des premiers « s’avère complexe », remplacer le second serait « long et onéreux ». Le 12 janvier 2027, le règlement européen sur les données interdira aux fournisseurs de cloud de facturer le changement de fournisseur.
L’État sait dire ce que lui coûtent certaines dépendances numériques ; il ne sait presque jamais dire, pièce à l’appui, combien de temps il lui faudrait pour en sortir, et c’est ce temps qui pèse sur le rapport de force avec le fournisseur.
Ce que le rapport chiffre, périmètre par périmètre
Les montants sont solides, à condition de ne pas les additionner. Les 115 millions d’euros de Microsoft couvrent les administrations d’État, plus France Travail, la Cnam, la Cnav, la Cnaf et l’AP-HP (pages 103 et 104) ; sur le périmètre de la direction interministérielle du numérique (Dinum), qui exclut les opérateurs, le poste tombe à 98 millions. France Travail a concentré 83 % de ses dépenses de services cloud de 2025 sur 3 fournisseurs américains, « essentiellement ServiceNow, mais également AWS et Microsoft Azure », et les hébergeurs américains pèsent « près de 98 % » des dépenses de cloud de la Cnaf, sans année précisée (page 61). Ces parts mesurent la concentration de la dépense cloud, pas celle de tout leur numérique.
L’Union des groupements d’achats publics (Ugap) mesure autre chose : son chiffre d’affaires avec chaque éditeur, tous acheteurs publics confondus. Celui de VMware France y passe de 29 à 62 entre 2024 et 2025, soit une hausse de 113 % (pages 112 et 113). Sur le périmètre de la commission, la hausse des dépenses VMware est de 37 %, entre 2025 et la moyenne 2023-2025.
La DGFiP, enfin, a donné ses montants sous serment, selon le compte rendu de l’audition du 7 mai : Oracle y « équipe notamment la déclaration en ligne des revenus et la comptabilité locale ». Tomasz Blanc en tire la conséquence commerciale : « Cette complexité structurelle limite d’ailleurs notre capacité de négociation contractuelle. »
Ce qui n’est ni mesuré ni publié : la durée d’une sortie
Le questionnaire demandait aussi si chaque application métier pouvait être remplacée, « immédiatement ou selon un horizon de temps défini » (page 37). Le tableau qui en sort (page 38) est la seule mesure publique de ce temps à l’échelle de l’État, et il est lacunaire. Sur 118 applications de catégorie 1, celles dont le défaut peut porter atteinte « à l’ordre public, à la sécurité publique ou à la vie des personnes », l’information sur la possibilité de substitution n’est pas communiquée pour 53, soit 45 %. Pour 27, aucune substitution n’est identifiée. Seules 18 ont un horizon daté, et 6 sont déclarées remplaçables immédiatement. Ces décomptes sont des calculs d’ELMARQ, sur 466 applications dont la commission dit le recensement non exhaustif.
Ce tableau mesure une substituabilité déclarée, pas la durée réelle d’une migration ni le délai de reprise après une panne : aucune colonne ne dit si la substitution a été testée, ni quel objectif de reprise l’administration se fixe. Le 7 mai, la rapporteure demande à la DGFiP et à la gendarmerie « les délais et les coûts » d’une transition vers le logiciel libre. Le général Marc Boget, directeur de l’agence du numérique des forces de sécurité intérieure, indique que la bascule de la gendarmerie, engagée il y a 20 ans, s’est faite en 3 ans. Tomasz Blanc donne un ordre de grandeur, pas un délai : faire évoluer tout un système d’information « requiert environ une décennie ».
Les ministères économiques et financiers indiquent qu’il n’existe pas « de cartographie des dépendances formalisées » à leur échelle (page 46) ; la Cnam fait de « la finalisation de la cartographie des dépendances » son action prioritaire (page 45). La commission reconnaît qu’un calcul complet devrait mettre les économies de licences « en regard des coûts supplémentaires liés à la migration », et renvoie ce travail au gouvernement (page 112). La Caisse nationale d’assurance vieillesse range bien les « défaillances fournisseur » parmi les 8 risques majeurs de son tableau de bord de contrôle interne, selon le rapport n° 2859 ; aucune pièce lue ne dit quel délai elle s’est fixé pour y faire face. L’absence de délai publié ne prouve pas qu’aucune administration n’a de plan ; elle signifie qu’aucune pièce publique ne permet de le vérifier. La continuité est une autre mesure que la substitution, et le rapport n° 2859 en donne un cas sans lien avec un éditeur : en février 2026, la défaillance d’une baie de stockage d’un centre de données de la DGFiP a paralysé « pendant des semaines » l’application comptable Helios de nombreux hôpitaux et collectivités, « menaçant le versement des salaires » et « le paiement des fournisseurs ».
Le mécanisme : la durée de sortie fait le prix
Le rapport décrit le ressort : la dépendance rend les administrations « vulnérables aux hausses tarifaires » lorsque « la transition vers une alternative est rendue longue ou coûteuse » (page 112). Plus une sortie est longue et coûteuse, moins le client peut opposer une alternative crédible à une hausse tarifaire ; aucune pièce lue ne chiffre l’effet sur les prix. Une autre commission d’enquête, sur les incertitudes budgétaires de la sécurité sociale, a recueilli la même plainte : selon son rapport n° 2859 du 2 juin 2026, la Mutualité sociale agricole voit le budget consacré aux grands éditeurs américains « tels que Microsoft, Broadcom » augmenter « de 10 à 15 % par an en moyenne ». Le 16 avril, la directrice générale d’Orange, Christel Heydemann, a décrit avec Broadcom « des discussions, qui n’étaient pas des négociations », et des « plans de réversibilité » pour réduire sa dépendance à VMware.
La DGFiP montre l’autre face. En évitant « les fonctions trop spécifiques des produits propriétaires », elle dit faciliter « la réversibilité technique » et reprendre « l’ascendant lors des négociations commerciales » ; elle est ainsi sortie « presque totalement d’Oracle sur le périmètre de la fiscalité des entreprises ». La réversibilité relève ici de l’architecture plus que du contrat : elle raccourcit la sortie, donc elle change le prix.
La Plateforme des données de santé, ex-Health Data Hub, montre ce que coûte le temps. Hébergée sur Microsoft Azure depuis 2019, elle a retenu Scaleway en avril 2026. Le 29 avril, sa directrice générale, Hela Ghariani, a déclaré à la commission qu’il n’y avait « pas de surcoût entraîné par la migration en tant que telle ». Le surcoût tient à la transition : l’infrastructure actuelle restera en service de 12 à 18 mois pour plus de 250 projets, selon le compte rendu n° 33. Le prix de cette sortie, c’est la durée pendant laquelle on paie 2 plateformes.
Le règlement (UE) 2023/2854, dit Data Act, s’attaque à l’obstacle tarifaire. Le texte compte 3 dates : entré en vigueur le 11 janvier 2024, il s’applique depuis le 12 septembre 2025, et son article 29 interdit les frais de changement de fournisseur à compter du 12 janvier 2027. Dans l’intervalle, depuis le 11 janvier 2024, ces frais ne peuvent être que « réduits », limités aux coûts « directement liés » au changement. La sortie ne devient pas gratuite : la définition exclut de ces frais « les frais de service standard » et « les pénalités de résiliation anticipée » (article 2, point 36), et les services supplémentaires demandés par le client restent facturables à un prix accepté d’avance (considérant 89). En usage simultané de plusieurs clouds, le transfert des données reste facturable au coût (article 34).
Sur la durée, le texte fixe des plafonds de procédure, pas une durée de migration : préavis de 2 mois au plus, période transitoire de 30 jours, portée jusqu’à 7 mois en cas d’impossibilité technique justifiée (article 25). Le fournisseur n’est pas tenu de « développer de nouvelles technologies » (article 30), et les services conçus sur mesure pour un client ainsi que les versions d’essai échappent à l’article 29 (article 31). Une application ancienne qui tourne sur un ordinateur central installé chez l’administration n’est, en outre, pas un service de cloud au sens du texte : le règlement ne touche pas les logiciels installés dont la DGFiP décrit la sortie. En France, la loi Sren du 21 mai 2024 vise déjà les frais de sortie et les crédits cloud ; le directeur général de Cloud Temple, Sébastien Lescop, l’a jugée devant la commission « très utile » pour les nouveaux projets, « néanmoins, il y a tout l’existant, qui constitue la plus grosse partie du marché ». L’ancien directeur général d’OVH, Michel Paulin, a ajouté devant la même commission que la loi interdit ces pratiques, mais que « nous attendons d’ailleurs toujours les décrets d’application ». Le Data Act supprime une facture de sortie ; il ne raccourcit ni la réécriture d’une application, ni la reprise des données, ni la formation des équipes.
L’arbitrage déplacé : le délai acceptable se fixe par défaut
Dans les pièces lues, aucune règle ne fixe le temps qu’une administration doit pouvoir mettre à quitter un fournisseur. Aucune des 18 recommandations de la rapporteure ne demande de la mesurer, de la tester ou de la publier ; les plus proches portent sur l’évaluation, par un comité d’économistes, d’une coupure décidée par les États-Unis, et, parmi les propositions, sur une clause d’entiercement du code source « afin de garantir la continuité de service ».
Le choix se fait donc par défaut. Dans les directions informatiques, l’Éducation nationale écrit que les travaux d’adaptation « souffrent systématiquement de la concurrence des besoins métiers » (page 46). Dans les marchés publics, le général Boget décrit un arbitrage entre « l’acheteur, dont l’objectif est d’accorder une importance prédominante au prix », et le technicien. Le ministère de la Justice renvoie certains remplacements à « un arbitrage interministériel » (page 44). Faute d’arbitrage, personne ne fixe le calendrier de sortie ; la DGFiP et la gendarmerie montrent qu’une administration peut le reprendre en main.
L’angle mort n’est pas propre à l’État. Nous avions montré, à propos de l’enquête ouverte par Bruxelles contre Omya le 23 octobre 2026, qu’une dépendance fournisseur se mesure au délai et au coût nécessaires pour produire sans lui, pas au montant de sa facture. Le 12 juin, à propos du paquet souveraineté technologique du 3 juin, nous relevions qu’un dirigeant d’ETI n’avait pas à attendre les résultats promis pour 2030 sur l’axe qui ne dépend que de lui. Tant qu’un délai de sortie n’est ni fixé ni testé, le client négocie une hausse sans savoir ce que lui coûterait un refus.
Les dates qui mettront la thèse à l’épreuve
Le 12 janvier 2027, l’article 29 du Data Act entre dans sa phase définitive. Les contrats diront si les frais de service standard et les pénalités de résiliation anticipée prennent le relais.
D’ici la fin de 2026 ou le début de 2027, la Plateforme des données de santé doit avoir construit l’infrastructure qui accueillera la base principale de l’assurance maladie, selon sa directrice générale. Le contrat avec Microsoft, qui doit s’achever en octobre 2026, « devrait néanmoins être prolongé », écrit le rapport (page 208) ; aucune pièce lue au 29 octobre ne confirme cette prolongation. Si la double exploitation tient dans les 12 à 18 mois annoncés, ce sera l’un des rares délais de sortie de l’État annoncés avant et vérifiables après.
À l’automne 2026, l’Éducation nationale doit généraliser sa nouvelle application de scolarité du 1er degré, qui remplace une application fondée sur Oracle et IBM ; la Cnav vise un désengagement de la plateforme IBM « d’ici 2031 » (page 45). Tenues ou manquées, ces échéances donneront des durées constatées là où le rapport n’a que des horizons déclarés.
Enquête co-écrite par Marc Lugand-Sacy et Bénédicte Dubois, arrêtée au 29 octobre 2026, à partir du rapport n° 3054 de l’Assemblée nationale, tomes I (pagination imprimée) et II, enregistré le 8 juillet 2026, du rapport n° 2859 du 2 juin 2026, des comptes rendus n° 39 (7 mai 2026) et n° 33 (29 avril 2026) de la commission d’enquête, et du règlement (UE) 2023/2854 publié au Journal officiel de l’Union européenne le 22 décembre 2023. Le regroupement du tableau des applications critiques et la part de 45 % sont des calculs d’ELMARQ, reproductibles à partir du fichier des 118 et 275 applications et de sa note de méthode, sous Licence Ouverte. Les chiffres de France Travail, de la Cnaf, de l’Ugap et de la DGFiP portent sur des périmètres et des années distincts. La grille et son exemple sont une méthode et des hypothèses, jamais des résultats observés chez un client ou chez une organisation citée.
