Questions

La question

M. Alexandre Sabatou attire l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur la poursuite des transferts de données à caractère personnel vers les autorités fiscales des États-Unis dans le cadre de l'accord FATCA, au regard des développements juridiques récents intervenus au niveau européen. Par une décision exécutoire du 24 avril 2025 (décision n° 79/2025), l'Autorité de protection des données belge a jugé que les transferts de données opérés dans le cadre de l'accord FATCA ne respectaient pas plusieurs exigences du règlement général sur la protection des données (RGPD), notamment en matière de proportionnalité, de minimisation des données et de transferts vers des pays tiers. Cette décision a été assortie d'un délai de mise en conformité expirant le 24 avril 2026, à défaut duquel les transferts devront cesser. Dans le prolongement de cette décision, par un arrêt interlocutoire du 26 novembre 2025, la Cour des marchés de Bruxelles a saisi la Cour de justice de l'Union européenne de plusieurs questions préjudicielles portant notamment sur la compatibilité du régime FATCA avec le RGPD, la Charte des droits fondamentaux de l'Union européenne et le cadre juridique applicable aux transferts de données vers des États tiers en l'absence de décision d'adéquation. Ces développements traduisent la reconnaissance, par une juridiction de l'Union, de l'existence d'un doute sérieux quant à la conformité du régime FATCA avec le droit de l'Union. Or, selon une jurisprudence constante de la Cour de justice de l'Union européenne, en particulier les arrêts Schrems I et Schrems II, des transferts de données vers un pays tiers ne peuvent être maintenus lorsque les garanties exigées par le droit de l'Union ne peuvent être considérées comme assurées. Dans ce contexte, il lui demande si le Gouvernement estime que la poursuite des transferts de données à caractère personnel vers les États-Unis dans le cadre du FATCA est juridiquement compatible avec le RGPD tant que la Cour de justice de l'Union européenne ne s'est pas prononcée ; si des mesures conservatoires, et en particulier une suspension provisoire de ces transferts, sont envisagées dans l'attente de l'arrêt de la Cour, afin de prévenir toute atteinte potentiellement irréversible aux droits des personnes concernées et quelles suites le Gouvernement entend donner à l'article 172 de la loi n° 2021-1900 du 30 décembre 2021 de finances pour 2022, qui prévoyait la remise au Parlement, au plus tard le 28 février 2022, d'un rapport relatif à l'exécution par l'État de ses engagements en matière d'échanges de renseignements fiscaux, notamment au regard du respect du règlement général sur la protection des données (RGPD), rapport qui n'a, à ce jour, pas été remis.

La question

M. Alexandre Sabatou attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur l'intégration effective des outils d'intelligence artificielle (IA) au sein des processus métiers de l'administration. L'IA constitue une révolution technologique majeure, appelée à accroître la productivité, faciliter le travail des agents publics et améliorer la qualité des services rendus aux citoyens. À ce titre, l'administration doit pleinement s'emparer de ces outils afin de repenser en profondeur ses processus métiers, d'optimiser les tâches répétitives et de moderniser l'action publique. Or à ce stade, il n'existe pas de politique globale permettant l'adoption de l'IA dans les missions de l'État. L'absence de tels outils de pilotage systématique limite la capacité de l'administration à engager les efforts réels en matière de modernisation numérique et de bonne utilisation des technologies disponibles. Dans cette perspective, la mise en place d'une politique de suivi des outils d'IA permettrait d'assurer une meilleure implémentation et une évaluation objective des politiques publiques en matière d'IA ainsi qu'une responsabilisation accrue des administrations vis-à-vis des contribuables. Il souhaite donc savoir si le Gouvernement envisage la mise en place d'une politique d'intégration des outils d'intelligence artificielle dans les processus métiers des programmes relevant de l'ensemble des missions de l'État.

Réponse

Le Gouvernement partage pleinement votre constat : l'intelligence artificielle constitue un levier majeur d'efficacité pour l'action publique, au service des agents comme de la qualité du service rendu aux citoyens. Il souscrit également au diagnostic implicite de la question : pendant plusieurs années, le recours à l'IA dans l'administration s'est limité à des expérimentations isolées, conduites ministère par ministère, sans cadre commun ni pilotage d'ensemble. C'est précisément pour mettre fin à cette dispersion que le Gouvernement a arrêté une politique globale d'intégration de l'IA dans les processus métiers de l'État. Cette politique a été formalisée par le plan « Notre IA », présenté le 16 juin 2026 par le ministre de l'Action et des Comptes publics et la ministre de l'IA et du numérique. Il s'agit du premier plan systémique pour l'IA dans l'État, articulant l'ensemble des dimensions du sujet : les outils, les usages métiers, la gouvernance et le dialogue social. Sur le volet des outils, plusieurs solutions souveraines sont désormais généralisées : « L'Assistant », développé par la direction interministérielle du numérique (DINUM) avec un partenaire français sur une infrastructure certifiée SecNumCloud, est ouvert à l'ensemble des agents connectés au réseau interministériel de l'État - soit près d'un million d'agents - au terme d'une expérimentation de dix mois auprès de 10 000 agents ; s'y ajoutent la transcription automatique (« Transcripts »), la traduction souveraine en soixante-quatre langues (« DiploIA ») et la visioconférence de l'État (« Visio »), qui génère désormais automatiquement les comptes rendus de réunion. Sur le volet métier, des cas d'usage ciblés sont déployés là où ils allègent concrètement le travail des agents : reformulation des courriers administratifs à la DGFiP (« Langage Clair »), préremplissage de la chaîne financière dans Chorus (« Dépenses éclairées »), aide à l'analyse des offres de marchés publics, appui aux juristes de l'État et aux services judiciaires, ou encore accompagnement des conseillers France services à compter de l'automne 2026. Le pilotage systématique appelé de ses vœux par l'auteur de la question constitue le cœur même de cette stratégie. Le Gouvernement a engagé une refonte du pilotage numérique de l'État : la DINUM se transforme en une autorité référente pour l'intelligence artificielle et le numérique de l'État (Ariane), chargée d'édicter les standards techniques, de superviser l'urbanisation des systèmes d'information et de mutualiser les ressources critiques que sont les infrastructures, les capacités de calcul et les données. Le déploiement des cas d'usage repose sur un pilotage interministériel resserré, associant la DINUM, la direction interministérielle de la transformation publique (DITP) et la direction générale de l'administration et de la fonction publique (DGAFP), la DITP assurant la conduite opérationnelle de la démarche. La sélection des projets s'appuie sur une méthodologie partagée et multicritères - retour sur investissement, part des tâches concernées, faisabilité technique, impacts organisationnels - et fait l'objet d'une évaluation rigoureuse, à l'image de l'expérimentation de l'Assistant menée avec un consortium de recherche associant notamment l'Inria et le CNRS. Cette discipline collective vise expressément à rationaliser la dépense publique, à éviter les investissements redondants et à garantir la responsabilité de l'administration devant le contribuable, dans le prolongement de la doctrine « faire ou acheter » et de la mutualisation des infrastructures de calcul désormais pilotées à l'échelle interministérielle. Cette intégration s'opère selon une ligne directrice claire : celle d'une IA utile, humaine et souveraine - une IA choisie, et non subie. Le déploiement s'accompagne du maintien systématique d'une supervision humaine, d'un effort de formation d'ampleur (renforcement de l'enseignement de l'IA dans les futurs instituts du service public, guide d'usage remis à chaque agent), de la réinternalisation d'ici 2027 des compétences numériques les plus stratégiques, et d'une négociation inédite avec les organisations syndicales en vue d'un accord-cadre à l'automne 2026. Il participe enfin de la réduction des dépendances technologiques extra-européennes, condition de la maîtrise par l'État de ses propres services publics. Enfin, elle tient pleinement compte de la doctrine en matière de commande publique numérique, récemment précisée par une circulaire du Premier ministre, visant à prendre pleinement en compte la question de la souveraineté et à s'appuyer en première intention sur les produits et services numériques existants fournis par l'écosystème français et européen. En conséquence, la politique d'intégration systématique des outils d'IA dans les processus métiers de l'ensemble des missions de l'État n'est pas seulement envisagée : elle est engagée, pilotée et évaluée, et a désormais vocation à monter en charge sur la durée.

La question

M. Alexandre Sabatou attire l'attention de M. le ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique sur le recul majeur enregistré au niveau européen en matière de souveraineté numérique et de protection des données sensibles. La Commission européenne renonce à intégrer des critères juridiques de souveraineté, notamment l'exigence d'immunité vis-à-vis de lois extraterritoriales telles que le Cloud Act dans le schéma européen de certification des services cloud (EUCS), y compris pour le niveau de certification le plus élevé, au profit de seuls critères techniques et opérationnels de cybersécurité. Ce renoncement ouvre la voie à une situation dans laquelle des prestataires soumis à des juridictions non européennes pourraient obtenir une certification européenne présentée comme « maximale », tout en restant exposés à des obligations d'accès imposées par des autorités étrangères ; il fragilise la doctrine française de protection des données les plus sensibles et risque de transformer la certification européenne en label de conformité sans garantie effective de souveraineté, notamment dans la commande publique et pour des secteurs critiques (sécurité intérieure, défense, santé, justice, continuité de l'État). C'est pourquoi il lui demande de préciser quelles garanties le Gouvernement entend maintenir, en particulier via SecNumCloud et la commande publique, pour empêcher l'hébergement de données sensibles par des prestataires soumis à des lois extraterritoriales.

Réponse

Le développement d'un écosystème cloud européen compétitif, innovant et digne de confiance constitue une priorité de la France. Le Gouvernement défend cette position avec constance dans l'ensemble des négociations en cours au niveau européen. La Commission européenne a publié en janvier 2026 un projet de règlement visant à réviser le règlement sur la Cybersécurité (dit « Cybersecurity Act » - CSA 2). Ce texte porte, entre autres, sur la refonte cadre européen de certification de cybersécurité, dont découlera le schéma européen de certification des services cloud (EUCS) et introduit un dispositif de sécurisation de la chaîne d'approvisionnement des technologies de l'information et de la communication. Ce texte est en cours de négociation et est appelé à évoluer, d'autant que des ajustements demeurent à ce stade nécessaires pour assurer une couverture effective de l'ensemble des risques cyber, y compris ceux liés à l'application de législations extraterritoriales non-européennes. Cette problématique est d'ailleurs partagée par un nombre croissant d'États membres, au premier rang desquels l'Allemagne qui s'est engagée aux côtés de la France, lors du Sommet sur la Souveraineté numérique de novembre 2025, à promouvoir un cadre européen à même de protéger les données les plus sensibles contre ces risques. Cette préoccupation a également trouvé un écho auprès de la Commission européenne, comme en témoigne la publication, le 3 juin 2026, du règlement sur le Développement du Cloud et de l'Intelligence artificielle (dit « Cloud and AI Development Act » - CADA). Ce texte, qui s'inscrit dans le cadre du « Digital Sovereignty Package », vise à renforcer l'autonomie stratégique de l'Union européenne en établissant un cadre européen de souveraineté pour les services de cloud. Il instaure ainsi quatre niveaux de souveraineté (nommés « level assurance ») pour les services cloud et impose aux Etats membres de réaliser des évaluations de risques pour déterminer quelles activités du secteur public doivent recourir à des services de cloud souverains, en tenant notamment compte de la sensibilité et de la criticité des données, des risques liés aux législations extraterritoriales non-européennes et à la disruption de service. Le cadre proposé est encourageant dans la mesure où il présente des similitudes avec la politique nationale « Cloud de confiance » mise en œuvre. Il s'inscrit, en effet, dans la continuité de la doctrine « Cloud au centre » et de l'article 31 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique (dite loi SREN), qui impose à l'Etat, ses opérateurs et à certains groupements d'intérêt public de recourir à des solutions en capacité d'assurer une protection adéquate des données d'une sensibilité particulière hébergées et traitées, notamment contre l'application de législations extraterritoriales non-européennes. La France restera néanmoins attentive à l'évolution de ces travaux afin de s'assurer que le cadre développé soit ne soit pas en deçà des dispositifs mis en place au niveau national, notamment le référentiel SecNumCloud. En tout état de cause, le Gouvernement poursuivra son engagement dans les négociations européennes, afin de garantir une articulation cohérente entre les différentes initiatives en cours et de contribuer à l'émergence d'un cadre harmonisé, fiable et à même d'assurer la protection des données les plus sensibles contre tout risque, notamment liés à l'application de législations extraterritoriales non-européennes.