Commande publique : audition d'Edward Jossa (UGAP)

Chers collègues, nous achevons nos travaux de ce jour en nous permettant de revenir sur nos pas afin de tirer partie des investigations que nous avons conduites ces dernières semaines sur le rôle de la commande publique pour promouvoir la souveraineté numérique et d'en clarifier certains aspects. Le 18 mars dernier, soit au tout début des travaux de notre commission d'enquête, nous avions entendu monsieur Édouard Josa, président directeur général de l'Union générale des achats publics, UGAP, en raison du poids de cette centrale d'achat dans l'écosystème français de la commande publique. 5,64 milliards d'euros de commande en 2024, plus de 2000 marchés en cours d'exécution et un lien très fort avec les collectivités territoriales.

Depuis cette date, de nombreuses personnes auditionnées ont abordé le rôle de l'UGAP, parfois évidemment pour en souligner les avantage, d'autres fois pour émettre des réserves, dirons-nous, à son encontre. En matière de numérique, elle est souvent la porte d'entrée des acheteurs vers des solutions internationales ou françaises, comme nous avons pu le voir la semaine dernière en auditionnant SCC qui est titulaire de son marché multi-éditeur et en propose aujourd'hui 2832. L'urgence actuelle dans ce cadre doit être selon nous la promotion des offres souveraines et sécurisées en matière notamment d'hébergement des données et l'accélération de la prise de conscience des acheteurs publics face aux risques encourus.

Nous recevons donc à nouveau monsieur Édouard Josap dans ce domaine. Je vous informe que cette audition, comme vous le savez de Rén avant, sera diffusée en direct sur le site du Sénat et fera l'objet d'un compte-rendu publié. Je vous rappelle également qu'un faux témoignage devant notre commission d'enquête sera passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal, soit 75000 € d'amende et jusqu'à 5 ans d'emprisonnement, voire 7 ans en fonction des circonstances.

Je vous invite donc à prêter serment de dire toute la vérité, rien que la vérité, ainsi que la personne qui vous accompagne, donc monsieur Jenoni, si jamais il a vocation à prendre la parole. Donc appuyez sur le bouton de votre micro, levez la main droite et dites "Je le jure." Je le jure.

Je jure. Je vous remercie. Nous serions dans un premier temps intéressés par une présentation de l'offre de service numérique de l'UGAP.

On avait pu rapidement l'évoquer le 18 mars dernier, mais là de pouvoir y revenir plus en détail. Outre le marché multi-éditeur que j'ai mentionné, comment est-elle structurée cette offre ? Celle-ci n'inclu pas les logiciels de Microsoft ou d'Oracle en parlant de l'offre de service multiéditeur.

Dans quel cadre ceux-ci sont-ils proposés et sous quel régime juridique avez-vous contractualisé avec ces derniers ? Vous êtes par ailleurs tributaire, c'est une évidence de la politique de l'État en matière de numérique et notamment en ce qui concerne l'hébergement de la doctrine cloud au centre. Vous pourrez nous expliquer comment vous assurer via un marché passé pour le compte de l'État la satisfaction des besoins de celui-ci en la matière.

L'immunité par rapport aux législations extraterritoriales est-elle un critère que vous avez pris en compte dans le choix de vos titulaires ? Quel est l'étendue de l'offre souveraine ? En l'occurrence qualifié SECNUM Cloud que vous proposez.

De plus, quel accompagnement proposez-vous à vos clients en matière de cloud ? et sensibilisez-vous au risques auquels il pourrait faire face en choisissant un hébergeur de données non européen. Conduisez-vous une politique particulière visant par les solutions que vous offrez à diminuer ou limiter drastiquement la dépendance existante à l'heure actuelle à l'égard de certaines solutions logicielles ?

Plus généralement, vous pourrez nous faire part de la politique de soutien à l'innovation que mène Lugap dont l'effet levier peut-être déterminant comme nous l'avons appris la semaine dernière avec le cas de Doctolib qui nous a été rappelé par l'éditeur le l'entreprise SCC dont nous avons parlé. Je vous laisse la parole pour un propinaire d'une quinzaine de minutes. Vous connaissez la marche à suivre.

Ensuite, monsieur le rapporteur vous interrogera tout comme les membres de notre commission d'enquête. Je vous remercie. Merci monsieur le président.

Est-ce que m'autoriser avant de rentrer dans le vif du sujet à faire un de remarques préliminaires qui Ah, vous pouvez, vous avez une quinzaine de minutes maximum, je serai le gardien du temps. Mais voilà. D'accord.

Simplement parce que euh j'ai j'ai écouté un certain nombre d'audition euh et j'aurais peut-être quelques quelques observations à faire. Je partir un peu en amont sur deux trois sujets avant de rentrer dans dans le vif du sujet. Le premier, c'est que une centrale d'achat euh n'achète pas exactement comme un utilisateur final.

Et c'est un point qui me paraît assez important parce que quand vous êtes utilisateur final, bah vous achetez par vos vosos propres besoins alors qu'un acheteur euh une centrale d'achat, que ce soit nous ou que ce soit le Résa ou Unia Achat ou d'autres centrales, elle ne connaît pas forcément avec une précision le besoin. Donc elle fait forcément des marchés plus génériques, plus larges, avec beaucoup plus d'options pour s'adapter à la full à l'ensemble des clients publics, ce qui explique des marchés beaucoup plus modulaires présentant une offre beaucoup plus large que dans laquelle il appartient à chaque entité décisionnaire de de prendre ce qui lui va bien en fonction de sa propre politique et notamment l'État. Donc ça c'est un premier point dou des marchés qui peuvent paraître parfois extrêmement larges euh en terme de de solution, mais le sujet de la complétude de l'offre est au cœur des problématiques des centrales d'achat.

La deuxième remarque que je voulais faire sur euh les centrales d'achat c'est que il y a des sujets qui sont parfois un peu décalés par rapport à l'utilisateur final. Je prends quelques exemples du sujet des du des des des du du minimum enfin de de de des plafonds et des seuils ne nous concernent pas tous nos marchés dépasse largement les seuils de la commande publique. Autre exemple, en revanche, le le sujet du plafond est un sujet assez compliqué parce que nous ne savons pas toujours exactement quelles sont les quantités sur lesquelles nous devons donner des éléments estimatifs au niveau du montant estimé du marché.

Autre exemple encore, nous ne pouvons pas faire des marchés d'innovation parce que marché marché d'innovation nécessite une connaissance de la solution et une participation active à l'élaboration de la solution que par construction les centrales d'achat ne connaissent pas. Donc notre manière d'acheter est structurellement un peu différente de celle d'un utilisateur final. C'est un point qui me paraît important à rappeler en préalable.

Le deuxième point que je voudrais rappeler en préalable et ça joue sur tous les secteurs mais en particulier sur le secteur de la souveraineté numérique, c'est un marché est attribué à un moment déterminé et dans une situation euh donnée et il placaable pour une certaine durée. Ce qui veut dire or dans le monde de que nous connaissons et en particulier dans le domaine de du numérique, les choses évoluent très vite. Une entreprise française peut être achetée par une entreprise nationale étrangère, peut avoir des modifications d'exterriat.

On a vu des cas où un investisseur français est remplacé par un investisseur étranger puis de nouveau remplacé par un investisseur français. Euh ou l'inverse. Le sujet de la nationalité dirigeant peut aussi évoluer.

Il peut y avoir des changements de lieux de fabrication, il peut y avoir des relocalisations, des délocalisations des d'effectifs. Voilà, les conditions du marché peuvent être modifiées. Donc en perf une des un des éléments qui paraît assez important, qui a pas été souligné, c'est que on attribue un marché un instant donné.

Après, il se passe énormément de choses surtout dans un monde aussi mobile que celui du numérique. Et c'est une chose qu'il faut avoir en tête. De la même manière et parfois une idée reçue, c'est que la centrale d'achat peut faire à peu près ce qu'elle veut en matière de critères de sélection.

C'est véritablement faux. Nous sommes sur les très gros marchés sur lesquels bien sûr il y a des éléments crimes. J'ai déjà indiqué la dernière fois que nous pondérions ça autour de 40 % en moyenne dans les marchés du GAP.

Mais les critères techniques ne sont pas euh manipulables comme ça. Nous sommes sur la surveillance des marchés. Nous sommes sur la la surveillance de la de la Commission européenne qui notamment a fait les les a mis en place des lignes directrices extrêmement dirigeant directives pardon sur les critères qui ne peuvent pas restreindre de manière exagérer la concurrence favoriser exagérément tel ou tel acteur national ou régional.

Tout ça est ta sortie de sanction. Si vous mobilisez des crédits européens, notre responsabilité serait engagée si nous respections pas des règles. Donc nous avons aussi un corpus beaucoup plus strict que l'on imagine sur les critères techniques et et tout l'action que nous menons, c'est d'essayer de rendre ces critères techniques les plus objectifs et les plus mesurables possibles.

Et je dirais à peu près la même chose sur les critères environnement. Donc quelquefois il y a des discours ambiant pour prend pas ce critère celui-là c'est souvent des réflexions de marché et et et nous qui sommes véritablement sans doute la centrale la plus surveillée nous prenons un temps énorme sur ces sujets-là pour autant et je reviens sur un sujet le sourcing est est décisif et un des intérêts des centrales d'achat c'est que nous avons moi je je dois avoir à peu près une vingtaine de 5 ou 30 personnes pour faire juste de l'informatique. Et même ça c'est juste par rapport à ce que j'ai entendu comme proposition, comme subtilité, comme type marché.

Et cette connaissance fine des environnements, elle est à notre portée. Elle est pas forcément à la portée de de d'un service achat dans lequel vous avez deux acheteurs informatiques. Euh et pour voilà.

Donc nous avor ça aussi à la situation générale de la commande publique. En France, nous avons un éclatement extraordinaire des entités qui peuvent acheter LUGAP à 22000 clients actifs. Si vous faites la moyenne, je sais pas quelle est la moyenne des services achat de ces clients actifs, mais c'est un sujet euh qui est extrêmement sensible sur ça sur cette question de la commande publique.

Je rappelle qu'il a des pays comme l'Italie par exemple où ils ont fait un vrai travail de réflexion sur la limitation, le contrôle des pouvoirs adjudicateur ce qui n'est pas frais en France. Or il n'y aura pas le vrai monté en gamme de la capacité de l'utilisateur final à acheter et ils seront fortement dépendants des centrales d'achat. Si une réflexion, il y a beaucoup de réflexions sur le code de la commande publique.

Je trouve qu'il y en a pas assez sur la capacité à faire des structures acheteuses et notamment des des des villes moyennes, des petites villes. J'ai vous savez que j'ai une sensibilité collectivité locale par mon passé et le sujet de la mutualisation et de l'intelligence de la commande publique territoriale, c'est un sujet qui me paraît assez assez stratégique. Voilà ce que je voulais dire de manière un peu préalable.

En matière de de souveraineté numérique, avant de rentrer là aussi dans dans la manière dont on a fait nos marchés qui est un peu dépendante, il faut rappeler quelques éléments qui concernent à la fois notre aval et notre amont he parce que une centrale d'achat est d'une certaine manière entre les deux. s'agissant de l'aval, ce qu'il faut bien avoir en tête notamment lorsqu'on discute sur ces différentes solutions de souveraineté. Là, je parle plutôt pour des grands clients.

Nous avons euh dont les deux établissements publics par exemple que j'ai que j'ai dirigé, nous avons tous des systèmes d'information qui se sont construits par strat dans la durée avec tout un tas d'applications, voilà généralement construit à partir des années 80 qui se sont progressivement adaptés d'abord à l'arrivée des grands projets Chel et ensuite à l'arrivée de de des technologies web. tout ça a dû être concis. Donc nous avons des systèmes extrêmement complexes et extrêmement interdépendants dans lesquels je dirais euh pour parler très clair, c'est le DSI qui décide et pas forcément l'acheteur.

Parce que bon, on va être très concret, hein, je prends des exemples que que qu'on qu'on voit tous. Si vous avez un sujet de si si un DSI vous dit, "OK, vous pouvez prendre trait de cette solution là, mais je ne réponds plus de la performance, hein. OK ?" Et ça peut être ben je peux vous pas vous garantir que les déclarations d'impôt seront prendront pas une semaine de retard ou je peux vous garantir que les aides aux agriculteur sont payés dans les délais ou si vous dit des choses comme ça bah écoutez vo la décision est vite prise vous prenez pas le risque.

Donc en fait, il faut bien avoir conscience que dans les structures qui ont un peu d'informatique importante, vous avez quand même un poids et des options les DSI qui pèsent énormément dans les décisions et sur un de sujets, bah vous êtes obligé de faire des compromis y compris quand vous avez des et lorsque ça monte et quelquefois ce genre de sujet peut monter pour des raisons opérationnelles très vite au niveau politique qui prend ses responsabilités. Voilà. Donc il faut bien avoir conscience de de cette contrainte avale qui est très forte, notamment pour ce moi je prends l'exemple de l'UGAP par exemple, nous avons euh un système historique qui est construit autour de SAP.

Euh voilà, ça crée aussi des phénomènes de de d'interaction, d'interconnexion. Nos services informatiques sont habitués à cette technologie. Ils ont été formés, ils savent gérer les bogs dans ce dans dans cet univers là et ça a énormément de conséquences euh dont on parlera après sur les logiciel parce que voilà, nous avons aussi un mouvement où tous ces conséditeurs passent sur le cloud et ça a des conséquences.

J'y reviendrai. Donc voilà pour les avales pour la mont. Ben, je rappellerai d'abord un point, c'est que le numérique a comme particularité de de sauter les frontières avec une facilité déconcertante.

Voilà, c'est le secteur, seul secteur où je connaisse que mes fournisseurs étrangers peuvent vendre en direct sans avoir des sans avoir forcément des des des filiales France. Alors que dans le domaine de l'industrie des véhicules du mobilier lorsque la plupart des des des des importateurs formellement moi 95 94 95 % je suis pas sûr de chiffre sont des entreprises de nationalité française avec un Ciret parce qu'ils ont des filiales françaises. Le secteur de de logiciel est celui dans lesquels on peut commander directement à l'étranger ou les start-ups françaises peuvent aussi vendre directement à l'étranger.

Ça marche dans tous les sens. Donc c'est un domaine où la notion de frontière nécessite forcément des régulations qui c'est vrai dans tous les sens ont une portée un peu extraterritoriale. Par exemple, le règlement RGPD, ben il s'applique à toute application qui est utilisée en France ou que soit l'hébergement et l'application.

Donc là, face à cette comment dire fluidité absolue du numérique, vous êtes forcément sur des régulations qui ont une portée directe ou indirecte qui est qui est extraterritoriale. Ça c'est ma première marque. La deuxième marque, c'est que c'est propre au secteur de de l'informatique euh qui est que c'est un c'est une activité qui pour des raisons historiques, pour tout pour pour beaucoup de raisons dans lesquelles l'intermédiation est particulièrement forte.

Euh le enfin très très clairement, ce sont des des distributeurs auxquels généralement les acteurs de la de la commande publique ont affaire. Et ça ça change un peu la nature de la relation parce que c'est le distributeur qui va forer et le matériel et les logiciel et comme vous le savez un de grands acteurs de très gros acteurs gafa ne répondent jamais en direct aux appels d'offre. Donc forcément, ce sont des distributeurs qui vont gérer et quelquefois les distributeurs font eux-mêmes appel à d'autres distributeurs.

Donc d'une certaine manière, l'acheteur public choisit sa solution et puis après il rentre dans le système qui qui lui permet de trouver la solution. Donc il faut relativiser aussi dans un univers comme ça la partie ce qui peut être fait par le biais de la commande publique. C'estàd que tout ça pour dire que on est dans les domaines où c'est au l'utilisateur final de porter la responsabilité de ces choix parce que l'organisation des marchés publics est particulièrement complexe dans ce domaine.

D'ailleurs, ce qu'on va dire sur le gap l'illustre parfaitement. C'est la première caractéristique du marché de l'informatique. La deuxième caractéristique du marché de l'informatique, c'est la montée en puissance très très importante et très profonde du cloud.

Alors je veux pas vous faire trop long sur ce que c'est que le cloud parce que vous l'avez sans doute vous le savez aussi bien que moi. Mais vous savez qu'il y a trois catégories de cloud. Le SAS, le Yas et le PAS, hein.

Voilà. Donc le Yas, c'est les infrastructures qui sont mis à disposition. Le pass, c'est des infrastructures plus les plateformes, ce qui fait que le développeur, il n'é veut.

Tout le reste est géré dans le cadre du pass. C'est la solution qu'utilise énormément les start-ups, hein. Ils sont beaucoup sur du cloud pass.

Et enfin, le SAS, vous achetez directement le logiciel. Alors nous à LUGAP, on fait une distinction entre le cloud, c'est-à-dire on considère que c'est plutôt le Yas et le pass et les logiciels qui peuvent être soit installés sur vos machines directement vos utilisateurs ou sont achetés en mode SAS. Et si j'insiste là-dessus, c'est que de plus en plus le sujet va être de regarder sur votre portefeuille de logiciel comment eux-mêmes sont hébergés.

On n' pas que le sujet direct de l'hébergement sur le cloud, mais on a aussi le sujet de ce qui se passe au travers des logiciels qu'on utilise d'ailleurs qui sont pas implanté sur vos propres ordinateurs. Voilà les remarques de fond que je voulais voulais indiquer. Avant de rentrer dans le vif du du de de ce que nous faisons en matière de de d'informatique à l'UGAP, bah je dirais que nos marchés sont un peu des sont un peu ajustés à la situation de de de du du du marché.

Voilà. Donc en matière de en matière de de micro et de de de périphérique, là le le principe de la réalité font que ben voilà, la plupart des ordinateurs et des smartphones et des PC sont de fabrication étrangères. Donc là très clairement euh c'est des c'est des oligopol enfin on est sur du HP du DNovo et puis je parle pas des smartphones, c'est encore pire.

Euh voilà. Euh donc dans donc très clairement nous sommes sur des marchés de distribution qui sont reportés par des grands distributeurs comme SCC, Computa, Center et CONOCOM. C'est souvent cela qu'on retrouve même s'ils sont pas complètement exclusifs et même s'il y a des nouveaux acteurs qui essayent de rentrer sur ces sur ce marché des grands distributeurs.

Voilà, nous sommes sur une activité de voilà sur ce secteur là, nous sommes sur une activité de vente à l'UGAP euh euh sur sur les micros et périphériques. Nous sommes à peu près sur les ventes de l'ordre de 328 millions d'euros. Euh voilà, si je prends le secteur euh euh ça c'est pour les matériels.

Après donc nous avons des une organisation différente par exemple pour les pour les réseaux, je pense pour le one par exemple. Nous avons là aussi là pour le coup on a des des des le one et la téléphonie. Nous sommes sur des marchés qui sont attribués en général à des acteurs.

Donc ils sont français ceuxlà hein. C'est linked, c'est SFR Business et Céleste fournisseur. Mais ça ça vous donne le titulaire du marché, ça vous donne pas une idée du matériel qui s'utilise derrière hein.

Et le matériel derrière relève de la responsabilité. Là, on n'est pas sur des c'est le marché de distribution, mais on c'est les opérateurs et et j'insiste sur ce point parce que j'ai eu j'ai j'ai eu à répondre dans un lointain passé avec d'autres titulaires que les titul actuel sur le fait qu'un de mes unun des opérateurs retenu à LUGAP utiliser du Huawei. Voilà.

Donc ça a été un sujet sur lequel j'ai été conduit à m'expliquer en rappelant que voilà sur les matériels, l'UGAP n'a pas de droit de regard sur un s de matériel utilisé dans le domaine par le titulaire dans ces domaines là. Voilà. Euh je viens maintenant au au marché cloud hein.

Donc le cloud ce que j'ai dit comme j'ai dit dans dans dans dans dans dans dans dans ce que j'ai dit précédemment, je parle de de l'infrastructure comme un service et de la plateforme comme un service. L'IAS et le pass hein dans notre marché cloud. Ça c'est un marché que nous avons fait à la demande de l'indinum.

Pourquoi ? parce que il y a eu des tentatives, vous savez qu' a des tentatives précédentes depuis depuis les années 2014-25 pour monter des solutions nationales et elles sont beaucoup butées sur le fait qu'il y avait pas les volumes nécessaires pour que ces marchés soient rentables parce que tout le cloud nécessite un très gros volume d'activité pour pour que pour vendre des prix attractifs. qu'on est venu nous chercher en disant il faudrait que vous fassiez un marché transverse qui puisse concerner à la fois l'État.

C'est la vous cherchez euh sur ce sujet là de mémoire. Oui, je crois. Enfin la la tutelle la dénume et et et la direction des achats de l'État, ils sont venus nous chercher et c'est un marché qui a été copcrit avec à l'époque euh voilà parce qu'ils ont pu monter monter la puissance du cloud et donc on a fait et l'objectif était de chercher des volumes pour essayer de répondre à à la situation antérieure.

Justement parce que je crois que c'était les tentatives qui avaient été faites avaient tout échoué les unes après les autres. Donc à l'époque, il y avait une distinction entre le cercle 1, cercle 2, cercle 3. On est venu chercher sur le cercle 3.

C'estàd que là où il pensait qu'il y a moins d'enjeux de confidentialité et plus de volume peut-être à aller chercher. Et donc euh on a construit un marché là aussi un marché avec un un un titulaire qui est un distributeur qui a comme responsabilité de décliner un certain nombre de fournisseurs de cloud. Voilà. distributeur de une quinzaine pardon.

Quel nom du distributeur ? Le nom du distributeur alors aujourd'hui c'est euh crayon. Avant c'était Cap Gémini.

Avant c'était Cap Gémini et le marché a été remporté par Crayon comme titulaire principal. Crayon mot sur la construction du marché. Pardon.

Pardon ? Un mot sur la construction du marché la SPS. Oui Olivier.

Oui vas-y. Sur la construction marché. Juste pour alors monsieur le président, monsieur le sénateur, juste pour faire un lien avec et et madame euh excusez-moi, je vous euh juste pour faire un lien dans vos travaux précédents avec un marché multiéditeur.

Donc marché dans le marché multéditeur, vous avez pu voir qu'il y avait donc le gap qui avait passé un contrat avec un titulaire et qu'il y avait un catalogue d'éditeur. Donc ce qui fait qu'on a une relation qui est contractuelle avec quatre parties. C'est le même type d'architecture qui a été choisi pour le marché cloud.

Et ce type d'architecture offre puisque c'est un marché un accord cadre avec un distributeur, ça offre une certaine souplesse que vous avez pu voir notamment avec la mobilisation de la clause examen mais également dans le choix des titulaires de second que ça soit donc des éditeurs ou des providers. Dans le cadre du marché de cloud, il y a eu un travail qui était entreprise prime justement sur la question de l'application des législations extrauropéennes puisque à l'époque on a lancé ce marché, on était encore dans les conséquences de Schrems 2 et sur le fait qu'il avait la nécessité de sécuriser le besoin pour les acteurs publics d'être conforme donc au RGPD. Donc de ce fait là euh donc si je récapitule le processus qui est mis en œuvre au sein du GAP, donc vous avez votre client qui demande à l'UGAP un devis.

Le devis est poussé ensuite au titulaire du marché qui le rétrocède ensuite à ses providers de cloud. Ce qui a été prévu dans le dispositif de de cloud et qui peut être également adapté dans le processus multiéditeur, c'est qu'il y a une matrice de choix où une des premières questions qui était suscitée auprès du client public, c'était de lui demander si il voulait que ce provider de cloud soit ou pas soumis à une réglementation extraeuréenne. Donc la formulation de la question, on l'a vu avec l'ACNIL et l'ensemble du dispositif, on avait travaillé ensemble pour que justement l'idée ça soit que encore une fois pour être tout à fait en accord avec ce que disait le président, le choix final c'est la responsabilité du client à l'UGAP.

Mais toujours est-il que en tant que centrale d'achat, nous avons une obligation de conseil. Donc le fait est c'est que dans cette matrice de choix pour le provider de cloud, il fallait que le client de UGAP soit conscient que lorsqu'il choisit dans sa matrice de choix si oui ou non son provider est soumis à une géation extraeuréenne, ça a des conséquences en terme de sécurité. Donc c'est ça qu'on a fait.

C'est-à-dire que on a laissé on a laissé donc le choix au client public de dire est-ce qu'il y a une problématique ou pas par rapport à ça ? Et après ça pousse au clients public une liste de providers de cloud qui sont ou pas soumis à cette réglementation extra européenne. Si si si je reprends à ce moment-ci euh explication si euh vous avez bien dit à l'état il y a passé les marchés pour le HDH ou pour le l'enseignement supérieur l'aurait dit attention euh vous êtes pas soumis à une loi extractordiale ou vous êtes soumis à une loi extractorielle on choisi quand même Microsoft.

Euh c'est on était pas dans ce marché là. C'est-à-dire que non mais de façon que vous vous préveniez vos clients qui s'étaient soumis à une loi extraterritoriale. Donc les clients que vous avez eu dernièrement quand même c'était l'État, les ministères donc le ministère entre autres lancement supérieur le ministère de la santé et ils ont bien en connaissance de cause passer des marchés sur des hébergeurs soumis à des lois extrritoriales.

Vi de comprendre. Tata dont vous parlez, c'est un march on est sur les marchés du logiciel, on y viendra peut-être après. Là, je suis sur le marché de de cloud en tant qu'hébergement direct.

C'est un peu c'est une architecture voisine mais c'est pas tout à fait le le même sujet sur le marché de de marché d'ébergement. Désolé, excusez-moi de vous interrompre, le cloud, c'est pas quelque chose d'étérer c'est un ensemble depuis le centre des données, les les centres d'hébergement puis les judiciers de traitement. Donc c'est une chaîne globale qui est susceptible d'être justement fragilisé si on ne respectecte pas un certain nombre de principes.

Voilà, misant à la sécurité des données. Je me permets de le dire. Pour moi, il y a pas de différence entre les deux en réalité.

Oui, mais la différence c'est que dans un cas enfin dans l'architecture GAP, on fait cette distinction, c'est-à-dire le sur le cloud, on est vraiment sur les sujets d'hébergement comme vous le dites, sur les logiciels. Le même logiciel peut être soit hébergé directement chez le client final, c'est ce qu'on appelle c'est ce qu'on appelle dans le jargon du premise où il peut être en mode acquis en mode SAS et à ce moment-là, on est dans une autre logique. C'est un peu bah à Microsoft par exemple, faut regarder sur quoi ils sont ils sont hébergés.

Voilà. Mais c'est une c'est une logique qui est un peu un peu différente même si c'est très voisin, je suis assez d'accord sur ce pour revenir au marché cloud. Donc ce qui nous a été demandé, c'est de prendre un spectre relativement significatif de fournisseurs, des fournisseurs français et des fournisseurs non français et des solutions secum cloud comme des solutions non secnum cloud.

C'est pour ça d'ailleurs que ce marché sur le cloud en tout cas sur la partie encore une fois hors hors achat direct de logiciel donne des résultats qui sont plutôt satisfaisants parce que ben voilà donc le premier utilisateur c'est bon nous avons c'est je donne les chiffres 2024 nous avons 44 millions d'euros de vente sur ce marché le premier réacteur c'est oh avec 195 millions d'euros euh Voilà, le deuxième c'est Microsoft avec 8,1 million d'euros. Ensuite vous avez Outscale qui qui qui lequel on a fait 3 mlion7 de vente. Ensuite, vous avez Amazon W service, non, ensuite vous avez pardon Skalaway avec 3006 de vente et ensuite AWS avec 2002 de vente.

Voilà. Alors, c'est ça montre que les solutions d'entreprise française sont assez significant significatives parce que ça fait à peu près 72 % des ventes 2024. Encore une fois, c'est sur 2024 hein, c'est pas la totalité du marché mais bon je j'ae j'utilise les chiffres tous mes chiffres sont 2024 pour que vous ayez une idée des ordres de grandeur et puis c'est les comparer entre eux.

Voilà, parce que la durée de vie de marché, elle est différente. Voilà, donc on est sur une situation, je je ça doit faire 72 % des ventes ont été faites à des opérateurs français et euh j'ai également les statistiques sur le le Sepnum Cloud. Nous avons vendu euh enfin la moitié à peu près de ces 72 33 % des ventes sont secum club.

Alors, pourquoi euh c'était enfin par ça veut dire que les les les opérateurs français vendent à peu près autant de sencum cloud que du nonnum cloud. C'est ça que que ça signifie. Euh pourquoi cette double option y compris pour des opérateurs français ?

Tout simplement parce que le le SEM Cloud coûte 15 à 25 % plus cher, hein. Et comme la montée en puissance des des dépenses cloud va va être assez inexorable. En plus, ça ça percute les budgets de fonctionnement et pas les budgets d'investissement.

C'est un des sujets notamment pour les budgets locaux qui est assez sensible. Ben voilà, cet écart de prix est suffisant pour qu'on réserve le sectum cloud aux solution qui qui le qui le justifie. Voilà rapidement la situation de notre marché cloud.

J'en viens maintenant donc à l'autre volet qui est le volet du marché multi-éditeur. Alors, je crois que vous avez une description sur sur le marché précédent comme sur celui que là vous allez aborder. Si vous pouvez bien nous communiquer à l'issue de l'audition, le détail des chiffres, des ventilations.

Oui, oui, bien sûr. En terme de de chiffre d'affaires. Merci.

Ouais, d'ant plus. Ouais. Bon, sur sur le multiéditeur, on est sur un marché qui est qui est beaucoup plus important, hein.

C'est un marché qui qui pèse dans notre activité, je crois de mémoire 860 millions d'euros, hein. Voilà, donc on est sur des volumes sans communes avec les ventes de cloud. Ce qui veut dire qu'en réalité euh sur ce marché, en tout cas, bon, le Gam n'est qu'un échantillon, hein, tout le monde passe pas par nous.

Euh les achats de logiciel sont un sujet à à plus gros enjeux que les achats directs de de cloud. Et c'est pour ça que je vous dis que la stratégie des grands éditeurs est leur propre c sur ce sujet-là peut-être qu'il y a une réflexion collective, c'est comment inciter un nombre de grands éditeurs à rentrer davantage dans les cadres d'hébergement qu'on qu'on souhaite. Et ça c'est un vrai sujet de de réflexion et de progrès.

Euh donc bon, je rentre pas trop dans le détail de ce marché parce qu'il vous a été décrit de manière extrêmement précise, je crois par par SCC. Je voudrais rappeler simplement quelques fondamentaux puis je on verra sur en fonction des questions que que vous auriez là-dessus. Le marché multiéditeur, vous savez que l'objet du marché c'est la mise en concurrence de de de bibliothécaire d'édition.

Le titulaire est un bibliothécaire de de solution d'éditeur parce que comme encore une fois pourquoi on est arrivé à cette solution là parce que comme vous le savez le logiciel est un produit qui est très difficile à mettre directement en concurrence avec un autre logiciel. Il y a pas deux logiciels qui sont pareils. les fonctionnalités c'est enfin c'est c'est beaucoup plus difficile de mettre en directement un logiciel qu'un autre que par exemple des voitures ou des camion parce que tout simplement les objets sont infiniment plus variables de porté de champ de fonctionnalité de matériel et et c'est justement pour ça qu'on est passé sur ces marchés de distribution de domaine de logiciel d'autant plus que comme vous le savez aussi les prix sont archi variables hein et au moment des closing voilà vous avez des des réductions de moy moitié des des prix parce qu'en fait l'investissement est déjà fait et donc il y a une malléabilité une flexibilité des prix qui est infiniment plus grande sur le marché des logiciels que sur d'autres bien et services parce que le coût de revient ben il est loin derrière.

C'est c'est c'est quelque chose qui ressemble plus au marché du médicament si vous voulez par par certains côtés. C'est que le RND le RD et on est sur des marchés où on se refait de du RD qu'on a dépensé. Bien euh pour ces raisons, le modèle de de des marchés multiéditeur c'est c'est c'est imposé.

Nous sommes sur un un accord cadre à marché qui a comme deux particularités juridiques. Le premier, c'est que le marché est mis en concurrence avec un certain nombre d'éditeurs. Enfin, c'est ceux qu'on avait déjà. et on l'ouvre au fur et à mesure à des nouveaux éditeurs par un système juridique qu'on pourra vous exposer qui est le système des clauses de réexamen.

Ça c'est pour les fournisseurs. Et après comme il faut bien un accord sur la chose et sur le prix, on doit également faire des marchés subséquents pour caler ensuite. Donc avec des on a des clauses examen en amont et des marchés subséquents en aval si je puis dire pour intégrer les solutions telles qu'elles sont achetées par le client en client final.

Voilà, donc c'est une architecture juridique assez assez complète. Voilà. Euh le processus, vous avez été décrit mais je confirme que c'est un processus qui par rapport à d'autres marchés de distribution implique davantage l'UGAP, hein, parce que le l'éditeur doit vérifier un nombre de choses, enfin le bibliothécaire, donc le titulaire actuel SC doit vérifier un de choses, mais nous aussi nous vérifions un nombre de choses parce que et notamment nous tenons à vérifier la solidité financière des entreprises euh que qui rentrent dans euh le marché multiéditeur parce que si un logiciel n'est plus maintenu ou fait défaut alors que le client public c'est vraiment organisé pour pour en être dépendant, ça peut aboutir à des catastrophes opérationnelles.

Donc il faut vraiment que nous puissions garantir la continuité de service des des logiciels. C'est c'est extrêmement important pour la continuité du service public et surtout sur les logiciels à caractère un peu technique qui permettent à d'autres logiciels de fonctionner. Voilà euh ce que je peux dire sur ce marché.

Euh voilà à ce stade euh sur le marché des multi-éditeurs, mais bon, l'offre de l'UGAP ne se limite pas seulement à ce marché multi-éditeur. Nous sommes également présents sur le secteur de la cybersécurité, hein. Euh voilà, sur lequel nous avons également un opérateur qui est un distributeur de solutions.

C'est toujours un peu la même la même architecture sur marché de l' Écoutez, je je vous remercie déjà pour ces premières réponses. Je propose à monsieur le rapporteur euh d'enchaîner parce que je vois le temps qui défile. Euh donc les questions de monsieur le rapporteur et puis ensuite les collègues membres de la commission d'enquête qui ne manqueront pas de vous interroger également.

Merci pour propos. J'ai bien compris que ça reste au choix la sécurité à celui qui fait la commande et non pas l'UGAP. Par contre, le marché est quand même passé par l'UGAP.

J'aurais deux questions prélimines à vous poser, monsieur Ja, vous êtes né le 3 juin 1960 à Washington DC et vous êtes éligible à l'inion américaine par le roi du sol. Est-ce que vous êtes d'abord du binational ? C'est une question qui est importante à mes yeux.

Vous êtes né vous êtes né à Washington DC aux États-Unis. Pardonnez-moi mais de par le droit du sol, vous avez la possibilité d'être binational. Excusez-moi mais je je j'avoue que c'est je suis très troublé par cette question parce que je veux dire je suis rentré dans la fonction publique ça fait 45 ans.

Je suis dans la fonction publique et on m'a jamais posé cette question. la pause. J'avoue qu'elle est extrêmement choquante.

Elle peut être choquante monsieur mais je demande si vous êtes national. Extrêmement choquante. Je vous dire très franchement écoutez je je un nationalité française.

Oui. De je ne suis pas tout à fait au clair sur la question de la nationalité américaine parce que le droit américain est assez complexe lorsque vous avez fait une carrière et vous avez exercé des responsabilités. Mais écoutez, je ne suis pas capable de vous donner la réponse parce que j'en suis pas sûr.

Voilà. Ça pleine réponse et c'est pas une question dérangeante. Moi je je tiens à dire quand même ici que je n'accepte pas qu'on mette en cause ma loyauté par rapport au gouvernement au professionnalisme et je voudrais pas qu'il y ait une forme d'insuation sur ce fait-là.

La politique que que j'amène, elle est exactement la même que celle de mes prédécesseurs, de mes successeurs. Et je tiens à dire que mon engagement pour pour pour l'État et pour l'achat français est total. Je pourrais l'indiquer aussi dans d'autres éléments de notre activité.

Je voudrais qu'il y ait absolument aucun doute sur ce point. Il y a pas de doute si vous le dites. Mais je vous ai posé la question pour savoir, c'est tout.

J'étais en droit de la poser. Euh on va passer à l'UGAP. Euh si vous voulez, j'ai deux types de questions par rapport au blocage de la CPI.

En février 2025, Microsoft a bloqué les services de la Cour pénale internationale sous la pression de sanctions américaines. Vous en tant que président de l'UGAP, comment vous pouvezvous justifier que l'UGAP continue à faire confiance à Microsoft alors que ce précédent montre que nos services hébergés par Microsoft peuvent subir la même chose que sur la HDH, que ce soit l'enseignement supérieur puisqu'ils l'ont bien fait pour leur Cour nationale. Qu'est-ce qui nous permet nous d'avoir une garantie que demain matin Microsoft de sur une même de données coupe coupe carrément nos services ?

Il y a a il y a plusieurs questions différentes dans ce sujet là. Mais c'est bien pour ça qu'on a une politique de souveraineté numérique qui l'appartient. Enfin, moi je peux pas répondre sur le fond de de la pollution globale par rapport à Microsoft. qui m'appartient pas de la définir.

Moi, je suis que responsable d'une centrale d'achat qui applique le code des marchés publiques. Aujourd'hui, ce que je peux dire, c'est que je n'ai pas d'élément juridique qui me permet d'exclure Microsoft que d'ailleurs que je rappelle que dans le secteur public notre nous avons marché alors sur Microsoft et Oracle, je précise que nous faisons contenu du volume des enjeux financiers. C'est sont deux secteurs nous ont des marchés dit à la marque.

C'estàd que quand on fait des marchés, on fait appel à des distributeurs, hein, c'est toujours à peu près les mêmes. Et mais on dit que c'est pour des produits Microsoft ou pour des produits Oracle, c'est les deux c'est deux les deux secteurs sur lequels nous faisons des marchés dit à la marque. Euh je précise d'ailleurs de manière tout à fait transparente que notre marché Microsoft représente à peu près 230 millions d'euros.

C'est un c'est un très gros marché euh et que le marché Oracle euh représente à peu près une soixantaine de millions d'euros de de mémoire. Donc ce sont des marchés dont le volume financié est tel que euh euh nous sommes entrés dans un système de de de de la marque. Je dirais que M les les les les la répartition est à peu près équivalente entre l'État et les collectivités locales de l'ordre de 80 millions chacun.

Donc nous sommes, je veux dire, moi je fais face à la situation réelle. C'est le jour où l'État décide de d'interdire Microsoft, nous vendons plus Microsoft de l'État. Mais encore une fois euh la centrale d'achat n'est pas là pour prescrire.

La centrale d'achat répond aux demandes et d'ailleurs, je tiens à dire que nous sommes pas le seul au monde. Et si on arrêtait par exemple de vendre du Microsoft de collectivité territoriale, bah une autre centrale d'achat prendrait immédiatement le relais. d'ailleurs, il y a des marchés Microsoft, non seulement à Lesgap, mais aussi au Résin, aussi à Unia, aussi à la Canute qui est une centrale d'achat territorial et aussi à donc je veux dire voilà nous enfin je rappelle quand même un sujet c'est que c'est le client qui décide, il veut du Microsoft et parfois il est dépendant de Microsoft et après il va chercher le canal qui va bien.

Ça peut être le GAP comme ça client décide mais on met sur l'étagère avec vos prescription Microsoft même si le client décide vous êtes quand même vous la la personne enfin l'UGAP le l'organisme qui est censé sélectionner sélectionner des pres Non mais attendez vous pouvez pas dédoiner là-dessus sans sélectionner des prescripteurs qu'ils sont indépendants et qui donnent une certaine sécurité à leur donné vous pouvez pas vous dédoiner en disant c'est le la personne qui est en dessous qui a demandé qui qui fait la commande qui est qui est fautive dès l'instant qu'elle a un choix sur l'étagère qui qui lui donne celle-là et qui a été sélectionné par vos services sans avoir toutes les garanties de souveraineté. Peut pas dire c'est la faute de l'acheteur. Pardon, je vais être très clair là-dessus.

Nous ne pouvons nous n'avons pas de tutelle sur une collectivité locale. Nous n'avons pas le droit de faire du nous n'avons aucune raison de faire du refus de vente. C'est pas notre rôle.

Notre rôle est d'approvisionner. Aujourd'hui, il y a un vrai besoin. Je On peut vous avez sans doute eu des des débats sur ce sujet avec les différents autres acteurs.

Pour le moment, il y a aussi des phénomènes de dépendance par rapport à Microsoft qui qui sont réels. Voilà, on peut pas comme ça tout le monde, je crois que l'ensemble des intervenants vous ont dit peut-être qu'il faut réguler un chos mais si voilà donc pour le moment la demande est extrêmement forte et d'ailleurs je le dis très très sincèrement sur des gros marchés d'Oracle Microsoft les les la plupart des clients publics ils consultent l'UGAP ils consultent le Résa il consultent une SACIH il consultent les centrales d'achat territorial ils essayent d'obtenir voir qui peut leur obtenir les meilleurs prix donc en réalité ce sont les centre pas, il y a pas que LUAP, il y a les centrales d'achat, il y a même un certain nombre de de de de de de d'équivalents de ce marché. Voilà dans les caisse de sécurité sociale.

Donc le le problème c'est que soit soit le législateur prend ses responsabilités interdit Microsoft pour les raisons que vous dites et dans ce cas-là ça s'arrêtera. Soit l'État décide d'interdire Microsoft sur l'ensemble de son périmètre et dans ce cas-là onappliquera mais il y a aucune raison. Voilà, c'est c'est votre travail de préparation, vous n'avez pas évalué les risques de en tant que conseil de l'utilisation de Microsoft.

Vous auriez pu avoir une préconisation de dire voilà effectivement Microsoft c'est c'est c'est génial sauf qu'il y a une un risque. Non mais c'est quand même dans vos préconisations parce que dans le on fait bien ça pour d'autres choses. On dit tiens l'entreprise n'a peut-être pas assez de finances, l'entreprise est peut-être trop jeune, l'entreprise a un concept léger.

Hm hm. Ça pouvait être une demande ou un éclaircissement que l'IGAP faisait en disant voilà effectivement l'entreprise n'a pas euh toutes les garanties euh de sécurité pour les données, c'est tout. surtout sur des marchés spécifiques.

Mais mais c'est justement pour cette question de sécurité qu'on a mis en place la doctrine Secun Cloud que il y a des sujets non mais il y a des sujets de de de que de que que que les discussions je crois qu'énormément d'acteurs publics discutent avec Microsoft pour pour les données soient hébergés justement en Europe pour pour échapper aux règles extraits territoriales que il y a des débats sur le cryptage des données. Non mais voilà, il y a plein de discussions avec le voilà. Non mais après je non mais il y a tous ces sujets mais ils sont les sujets sont liés parce qu'il faut bien que le le logiciel soit hébergé et que les données soient quelque part.

Euh bon vous vous confondez l'hébergement et le traitement. Pardonnez-moi de d'insister là-dessus monsieur. Il suffit pas d'être hébergé.

Il faut que le traitement soit aussi réalisé par des entreprises de l'informatique en nuage. Pardonnez-moi, j'aime bien utiliser le français. Voilà pour permettre ces d'atteindre ces critères de souveraineté.

Paronez-moi de reprendre à chaque fois, mais c'est important. Oui, mais encore une fois, sur ces sujets-là, soit une entreprise est autorisé à opérer, soit elle est pas autorisée, soit elle est exclue par des règles générales de la commande publique, soit elle ne l'est pas. Voilà.

Euh, je ne peux pas créer des règles qui sont pas prévues par le code de la commande publique. Pas plus que je ne peux imposer au ni mais c'est exactement la même chose pour les autres centrales d'achat. Ça simplement c'est pas le le message que nous voulons vous faire passer.

Soyons bien clair. Mais tout à l'heure, je crois que c'est monsieur Janoni euh qui a bien insisté sur le rôle de conseil d'une centrale d'achat. Donc là en l'occurrence, il s'agit pas de dire à l'acheteur vous devez acheter cette solution en privilégier une par rapport à une autre.

Sont les avantages et les inconvénients des unes et des autres. D'ailleurs, dans le cas des différentes auditions que nous avons réalisé, ça a toujours été reconnu y compris par les acheteurs publics eux-mêmes. C'estàd qu'à Monté, il y a un arbitrage entre la solution qui va présenter de l'efficacité, de la sécurité et puis ben finalement le sujet de l'immunité aux législations extraterritoriales.

Soit il est considéré comme secondaire, soit il est même pas pris en compte. Et d'ailleurs la question que j'aimerais vous poser aujourd'hui, alors peut-être pas vous personnellement, mais est-ce que dans les services de l'UGAPS chargés de ces marchés, il y a des formations, une sensibilisation à cette question de l'application des législations extraterritoriales ? Parce qu'en fait là, on voit bien dans la réponse que vous nous faites quand vous dites "Les données sont hébergées en Europe, elles peuvent même être hébergées en France si elles sont opéré par une société américaine soumise à une législation extraterritoriale." La captation de données, on le propriétaire des données n'est même pas informé.

Donc ça en fait c'est c'est donner ces éléments d'éclairage à celles et ceux qui peuvent avoir recours au service de LUGAP. C'est de notre point de vue le premier signal d'alerte là qu'il convient de lancer. Ensuite, il y a la structuration et la présentation d'offres souveraines où là évidemment c'est pas votre responsabilité première, même si on a eu des retours de terrain d'entreprises qui expliquaient que l'accès à à l'UGAP était était compliqué.

SCC nous a présenté la procédure évidemment où c'est bien l'UGAP qui en dernier ressort donne son accord. C'est le le mot de réexamen qui a été employé pour pouvoir ajouter des éditeurs supplémentaires. Aujourd'hui, il y en a 2832.

Nous avons demandé d'ailleurs confirmation des ventilations de chiffres d'affaires en fonction des pays de ces différents éditeurs. Mais tout l'enjeu, nous la première des priorités, c'est l'immunité aux législations extraterritorielles. Et donc là, est-ce que ce signal d'alerte aujourd'hui, il est présent dans votre catalogue ?

Est-ce que les agents de l'UGAP ont ce réflexe, cette formation pour éclairer les acheteurs publics ? parce que la réalité enfin nous nous considérons il y a une chaîne une chaîne d'information évidemment sur laquelle nous reviendrons dans le cadre de notre rapport d'enquête mais nous estimons, je pense que c'est partagé par l'ensemble des collègues que l'UGAP a un rôle à jouer dans cette chaîne d'information, de sensibilisation, de protection. C'est pas vous qui orientez après les choix, mais les choix doivent être faits en toute connaissance de cause.

Et là aujourd'hui, moi je suis convaincu et je ne jette la pierre à personne, mais que vous présentez à des acheteurs de collectivité, notamment les plus petites, vous leur dites "Non, non, mais vous inquiétez pas, nous avons une solution certes américaine, mais les données sont hébergées en France." Mais il signent, il signent parce que ils ne savent pas nécessairement qu'avec le FISA, le Cloud Act et cetera, les données, elles peuvent être hébergées en France. il y a pas d'immunité aux législations extraterritoriales.

Donc c'est sur ce premier volet déjà où où nous attendons là cette cette fonction de conseil sur cette question d'extraterritorialité. Euh c'est une question en réalité qui est beaucoup plus complexe encore ce que ce que ce qu'on dit parce que regardez l'affaire de la BNP, société entièrement française mais qui opère aux États-Unis. Et bien voilà, le rapport de force a fait que une forme d'extratériorité s'est imposée à cette société.

De la même manière euh beaucoup moi j'étais frappé en écoutant un centre d'audition beaucoup d'acteurs ont dit "Bah ils opèrent aussi aux États-Unis, ils ont une activité, il y en a même un qui a dit je crois je n'aurais pas pu me développer en France si je m'étais pas d'abord développé aux États-Unis. Ce que je veux dire c'est que je suis pas sûr que toute je suis pas sûr que toute société opérant aux États-Unis dans une certaine mesure ne risque ne présente pas quelques risques d'extraterritorialité. Monsieur le président directeur général, nous avons rencontré des sociétés ben que vous référencez d'ailleurs dans votre catalogue.

On va parler notamment de BH qui nous a bien confirmer le modèle économique et juridique qu'il mettait en place pour rendre absolument étanche aux législations extraterritorial pas qu'américaine au demeurant euh les les différentes structures qu' qu'il le mettent en place et OVH intervient opère à l'échelle internationale. Donc aujourd'hui, c'est tout à fait possible, mais là nous parlons bien d'acheteurs publics qui vont faire héberger des données publiques que nous estimons nous par définition sensible chez des opérateurs qui sont soumis à des législations extraterritorielles. Vraiment, le sujet, c'est celui-là. vous pouvez euh nous donner des exemples de structures privées.

Là, nous, on parle bien d'acheteurs publics, ce sont vos clients euh et euh euh qui emportent des préoccupations très lourdes sur euh la sécurité des données. Et donc là, ce que nous estimons, c'est que l'UGAP a à minima un devoir d'information sur les conséquences de ces choix. Et est-ce qu'aujourd'hui c'est le cas ?

Est-ce qu'il y a des signaux d'alerte ? Est-ce qu'il y a des actions de formation en interne ? Voilà.

Est-ce que vous pouvez nous en dire davantage sur là ? Bon, je je ne suis pas suffisamment au fait de la manière dont l'ensemble de mes commerciaux interviennent sur ce ce secteur en toute en toute honnêteté. Après, je pense que en fonction des des de la conscience et puis du de la de la de la manière de de vendre, chacun regarde les sujets.

Simplement, ce que je voulais dire, c'est que en général quand même, nous sommes pas face à des petits clients qui connaissent, qui n'ont pas écouté ces enjeux. Ça peut arriver mais c'est pas là qu' a l'enjeu. L'enjeu c'est sur les grosses c'est les grosses caisses de sécurité sociale, c'est sur les opérateurs, c'est sur les hôpitaux, c'est sur c'est sur ce c'est comme des des volumes un peu importants.

Et sur ces sujets-là, en général, nous avons des des interlocuteurs qui sont conscients de ces risques d'extraterrit. Mais si vous moi je retiens quand même de de de de non seulement de cette audition mais des autres que que j'ai un peu écouté que c'est sur un sujet sur lequel il faut qu'on travaille de toute toutes les évidenceces et sur lequel euh mais je mais je pense quee effectivement nous allons euh regarder de beaucoup plus près ce sujet parce que c'est vrai qu'on était très focalisé sur la satisfaction du besoin client quel qu'il soit et d'autre part sur le sur le sur sur le sur la difficulté de faire tourner ce ce code de la de la commande publique qui est pas toujours aussi simple que ça à appliquer. Simplement avant de passer la parole à à madame Morin de Sa et à monsieur le rapporteur, vous parler des structures les plus importantes mais même pour les plus petites.

Je peux vous dire que si demain et nous ne sommes pas là pour susciter un vent d'inquiétude chez nos concitoyens, mais dans une commune, une petite intercommunalité, vous allez avoir des données sur les habitants du territoire, sur les familles, sur les services publics, sur si ces citoyens apprennent que, et ce sera bien normal, les données qui sont stockées par leur collectivité sont en réalité accessibles à des puissances étrangères pour des utilisations après diverses et variées. Je je peux vous dire que la réaction, elle sera légitime, elle sera très vive. C'est qu'aujourd'hui euh et nous le déplorons les uns les autres, c'est tout l'objet aussi de cette commission d'enquête, c'est euh de susciter cette attention euh sur cette question euh parce qu'on le voit bien du côté des élus comme du côté des services et cetera.

Il faut qu'il y ait cette prise de conscience. Nous souhaitons y contribuer avec ce ce rapport et quelle que soit la taille de la collectivité que des plans alternatifs puissent être proposés. Et là, de notre point de vue, l'UGAP est une des briques de de la solution.

Madame Morin de Saill. Oui. Oui.

Vous nous avez dit, je vous cite, il y a pas d'éléments juridiques qui nous permettent d'exclure Microsoft. Moi, je voudrais quand même insister. Alors, évidemment, vous êtes loyal au gouvernement.

Si le gouvernement vous a pas dit de faire en sorte que on n'est pas recours à aux entreprises extraeuropéennes à un moment très important où l'accord de transfert des données européens c'est en juillet 2020 a été invalidé. Ça veut dire qu'on est dans une situation voilà de de non protection de nos de nos données hein. Il y a il y a un vide juridique hein.

Je rappelle que l'accord d'adéquation suivant a été à nouveau ratifié qu'en 2023. qui a eu pendant 3 années, voilà, un vide juridique, je quand même je tiens quand même à le dire. Donc oui, il y avait des éléments juridiques qui à l'époque euh pointait du doigt le fait que il y avait vraiment ces données qui n'étaient pas euh comment dirais-je euh protégées.

Donc c'est peut-être à ce moment-là que vous avez un devoir de conseil et d'éclairer tout de même. Euh ça nous semble important. La directrice de Polytechnique s'est beaucoup appuyée sur les solutions apportées par le l'UGAP.

D'ailleurs, c'est dédouiné dédoiné totalement du choix du recours à à Microsoft n'ayant même pas tenu un conseil d'administration dédié. En tout cas, il y a pas eu d'appel d'offre d'après ce qu'on a compris. Donc voilà, pour nous c'est très important.

C'est une chaîne de responsabilité et LUGAP en fait partie. Euh en réalité, vous êtes presque un passage obligé pour un certain nombre euh d'acteurs euh qui euh en plus gère des des structures, des établissements éminemment stratégiques, hein. On a parlé de l'enseignement supérieur, euh certaines grandes écoles.

Euh donc c'est important euh pour nous. Donc il y a pas d'élément juridique. Si vous avez une veille juridique, j'imagine qui vous permet en lien avec le ministère et en référence avec le ministère de tutelle de tout même établir attention là faut qu'on soit extrêmement prudente.

Non sur ce point au car du règlement RGPD, le le le règlement RGPD s'applique même en absence. D'accord. parler du expose quand même il expose quand même à des sanctions assez lourdes les violations en cas d'accord ou ou pas d'accord donc d'accord de transfert non mais mais et surtout et surtout quand il y a pas d'accord il y a les sanctions sont susceptibles de s'appliquer et puis je crois qu'il y a un sombre de règles alors d'abord je pense que c'est une très bonne chose que votre commission se tienne puisque ça permet de sensibiliser un certain nombre d'acteurs publics sur cette problématique qui est quand même très complexe de l'application des législations extraeuropéennes.

Là, on a parlé des Américains mais on a on a la même chose en Chine. Et je peux vous dire que la loi, elle est elle est la loi est extrêmement ambigue et les Chinois, on a quand même de d'équipement Huawei. Donc je pense qu'effectivement, il y a la nécessité qu'on ait une prise en de conscience collective là-dessus.

Donc de ce point de vue, on est totalement d'accord avec vous. Après il y a plusieurs points quand même à examiner ensemble. Le premier point, c'est que il faut une approche qui est proportionnée au risque et qui est proportionnée à ce qui est disponible industriellement.

Je vous donne un exemple. Lorsqu'il y a eu la mise en place des sanctions contre la Russie, il y a eu la question qui s'est posée de savoir si on soustrait du marché multiéditeur l'antivirus Kasperski. Lancy nous a dit non.

LC nous a dit non. Pourquoi ? parce que c'est un ils avaient fait des de la vigilance et contrôlé s'il y avait une activité anormale par rapport à cet antivirus.

Ils avaient estimé qu'il y avait plus de risque à ne pas utiliser cet antivirus qui était un bon antivirus qu'à le supprimer du catalogue et de l'accès aux personnes publiques. Donc lorsque vous parlez tout à l'heure de Microsoft, il faut faire il faut faire un parallèle, il faut faire une balance entre quel est mon risque si j'utilise une solution de Microsoft et quel est le risque si je n'utilise pas. Lorsqu'on parle de messagerie out, ça reste quand même une des meilleures messageries qui est disponible actuellement.

Ça veut pas dire que lorsqu'il y a des données sensibles, on n'est pas recours à des solutions qui soient plus sécurisées, mais il faut une approche qui soit proportionné. Ensuite, j'en viens à ce que vous disiez tout à l'heure, madame la sénatrice, c'est la question euh du RGPD et de accord sur les données entre les États-Unis et Union européenne. Cet accord de transfert de données entre les États-Unis et un européenne n'est qu'une manière d'être conforme à RGPD.

On en a une autre qui a été mise en place suite à la Richs 2 qui est de mettre en place des clauses contractuelles au sein des supports qui euh vont réglementer les transferts de données au sein d'un groupe ou entre des entreprises et en plus de mettre en place du cryptage. Donc même s'il y a eu l'invidation, je suis d'accord avec vous, entre 2020 de cet accord de transfert de données, il y avait la possibilité contractuelle de sécuriser les transferts de données. Donc là-dessus, il y a un certain on avait vérifié justement vous parliez de veille juridique, il y a nous on avait mis en place et on avait prévu de vérifier chez nos chez nos titulaires s'ils avaient mis en place dans l'hypothèse où il était américain c'est clause.

Donc là encore, vous parliez tout à l'heure de formation sur la réglementation extrauropeuropéenne. Ce sont des questions qui sont quand même extrêmement complexes. Certes, on peut avoir un premier réflexe, c'est ce qu'on a mis en place avec le marché cloud où on a clairement indiqué à nos clients si oui ou non ils souhaitait qu' a que leur provider de cloud soit soumis de nuag pardon soit soumis à des réglementations extrauropéennes.

Mais après le diable est dans les détails, on peut très bien avoir, vous l'avez dit tout à l'heure, un hébergement qui est en Europe, mais si votre maintenance applicative, elle est faite en Inde ou elle est faite en Chine, vous allez avoir un tiers qui n'est peut-être pas conforme au RGPD qui va intervenir sur vos données. Donc si on veut être totalement sûr, puisqu'on là on est plus dans une question de sécurité de données qu'une question de souveraineté, ça va totalement être sûr. Il faut avoir un examen complet de la solution.

Donc ça c'est des points qui peuvent pas être directement gérés par les commerciaux du GAP mais qui méritent qu'il y ait un examen approfondi avec les équipes techniques et les professionnels qui vont mettre en place et données en question. Toute à donné n'est pas chez l'UGAP. Il y a des éléments techniques des solutions qui sont à la connaissance de l'éditeur qui ne sont pas forcément à la connaissance de nos équipes.

Donc c'est pour ça que plus ce sujet est sensible, plus a donné de santé, plus nécessité de faire appel ou d'analyser en détail la solution qui est proposée. Voilà. Donc dans les dans les dans les sujets qu'il faut qu'on regarde, on est en train de regarder après assez près aussi, c'est ce sujet de du cryptage.

C'est pas un sujet anodin parce que le cryptage peut être une solution pour des données, disons, d'importance moyenne, mais c'est pas une solution absolue pour autant. Mais le cryptage nécessite sans doute que le que le le la clé du déchiffrement soit chez le l'utilisateur final et pas chez euh l'hébergeur. Donc nous avons un sujet qu'il faut qu'on regarde et c'est un sujet sans doute qui donnera lieu à des négociations parce que après bien sûr on peut craquer le chiffrage mais alors ils ont des infractions dans domaine du piratage informatique.

Voilà. Mais c'est vrai aussi hors hors législation extraterritoriale hein, vous si vous cassez un vous êtes dans vous êtes dans un acte qui est complètement illégal au regard de tous les droits. Après, au-delà de ça, comme vous le savez, Microsoft comme les autres éditeurs, je crois que Google est un peu dans la même réflexion, essaie de trouver des solutions, est en discussion avec les pouvoirs publics notamment sur les sujets par exemple de la de la solution bleue he dans lesquelles vous avez du Microsoft qui est associé je crois bleu c'est KC orange et Cap Gémini.

Donc peut-être que là aussi il y a des solutions qui pourraient que pourront se mettre en place qui permettront d'associer au moins euh des acteurs français qui sont importants dans le cadre de de la réflexion. Il est un peu trop tôt pour regarder. Je crois que je suis en train de regarder justement le sujet cloud pour avoir des solutions aussi dans de ces secteurslà.

Mais c'est des sujets euh c'est des sujets aussi qui qui devront être examinés. On verra aussi comment les décisions publiques pourront intervenir dans ce secteur. Alors ça ça règle le problème de la souveraineté mais ça règle pas non plus l'autre enjeu qui est tout aussi important, c'est celui de créer des des des grands acteurs européens capables d'être puissant.

Et pour ça parce que il y a la stratégie défensive mais permets-moi dire qu'on aura vraiment gagné la bataille lorsque nous aurons une stratégie pour construire des des gens capables d'avoir les mêmes prix parce qu'il y a aussi du sujet de performance et de prix malgré tout he faut quand même pas les oublier surtout dans le contexte budget actuel et je pense que la le vrai enjeu c'est de favoriser les acteurs qui puissent avoir cette dimension tout en rappelant quand même que pour atteindre ces dimensions là il faut aussi exporter ça tout ça vousz Non mais je je me permets de le rappeler. Je me permets de le rappeler quand même. Merci monsieur Ruel.

Merci président. Je vais changer de sujet si ça ne vous gêne pas. Voilà.

Euh LUGAP a lancé un appel d'offre en matière de de marché de conseil assez récemment réparti en plusieurs lots notamment certains portant sur de la finance de la stratégie. Vous confirmez hein ou pas ? Voilà.

Dans ce contexte, pourriez-vous nous éclairer sur les mécanismes mis en place pour garantir une répartition équilibrée de ces prestations, notamment en évitant une captation disproportionnée par les grands cabinets internationaux. Donc est-ce que là-dessus vous avez des gardes fou qui vont permettre d'éviter parce qu'on on retombe sur sur le même la même problématique en matière de en matière de données que ce qu'on évoquait que ce qu'on évoquait. Par ailleurs, dans quelle mesure LUAP assume-t-elle un rôle d'orientation ou de filtre dans la sélection des prestataires ?

C'est un appel d'offre en particulier pour des missions qui touchent à certains domaines traditionnellement régaliens. Enfin, disposez-vous d'indicateur sur la part de ces marchés bénéficiant à des cabinets français indépendants ou à des structures implantées dans les territoires ? Alors, il est d'abord première chose euh l'enjeu quand même euh sur les cabinets de conseil est un peu moindre que sur les sujets de données parce qu'il y a tous ces ces problèmes de de données de souveraineté numérique.

Et par ailleurs, je rappelle que les cabinets de conseils même internationaux sont des sociés de droit français avec des des salariés français souvent nombreux. Voilà. Donc nous sommes sur un sujet de souveraineté qui est quand même un peu moindre, même s'il existe hein, je le reconnais un peu moindre que le sujet extrêmement sensible dont on vient de parler qui est la souveraineté des des données, hein, que ce soit dans le cloud ou que ce soit dans les des grands des grands progels.

Voilà, donc ça c'est le premier point. Donc nous pour le coup, on fait des appels d'offre. On fait des appels d'offre.

Alors, il y a différentes solutions en matière d'appel d'offre pour pour les pour en matière. Bon, voilà. Donc nous, on a fait le choix de faire des marchés monoattribués.

L'État a fait des marchés multiattribués. Je précise d'ailleurs que nous sommes pas toujours l'option retenue par l'État, hein. Quelquefois dans ce rassemble de segments, l'État nous nous retient, sur d'autres l'État ses propres marchés hein.

Donc nous sommes pas du tout monopolistiques sur nos marchés de conseil. Voilà. Euh donc nous Oui.

Non, j'ai très clair pour à l'origine les marchés étaient remportés par des sociétés de taille moyenne. Très rapidement les très gros cabinets ont vu l'enjeu et se sont donnés les moyens de de remporter ces marchés. Notre stratégie est plutôt de les encourager à eux-mêmes prendre comme sous-traitant des des des acteurs locaux parce que aucun cabinet, tous ces grands cabinets sont des équipes qui sont déjà en général très très centré sur sur l'Île-de-Fance.

Et donc euh très souvent, on a constaté une couverture insuffisante notamment sur les territoires et donc on les encourage à faire travailler des des sous-traitants, hein, parce que c'est c'est ça la solution qu'on a trouvé qui était la plus opérationnelle. Voilà. Pas encore.

Lequel ? Celui du mois de mai là de 340 millions 330 millions d'euros de conseil. Bah je j'ai pas les éléments de toute manière, je ne communiquerai jamais sur un appel d'offre qui n'a pas été qui était Non mais c'était pas amusant hein.

Ça ça serait intéressant de savoir soit si vous avez si vous avez les résultats de cet appel d'offre à qui il a été attribué ou bien le dernier appel d'offre significatif en matière de conseil à qui a a-t-il été attribué ? Ça nous éclairerait je pense que c'est la notre marché de cabinet de conseil tous les titulaires que nous avons eu sur les différents marchés. Voilà, ça ça je peux vous le donner.

Oui, on donnera ces éléments. Voilà, dans l'état actuel des choses, madame Maorin de Sailli et monsieur le rapporteur. Monsieur le rapporteur, oui, simplement euh concernant les contrats que Lugap a passé à Microsoft, souvent ces contrats ont été passés avec Microsoft Irlande.

Bah bien sûr, on n pas l'exposition des données, mais surtout cette optimisation fiscale. Comment on pouvait justifier que ce contrat passe par une entité irlandaise alors qu'il y a bien Microsoft France ? Je suis un peu étonné par cette affirmation parce que habituellement Microsoft répond pas directement, il passe par un grossiste.

Donc ça je Oui. Non mais non mais je je tiens à savoir la finalité. Est-ce que la répartition entre les contrats Microsoft France et Irlande non seulement sur des marchés de de très grande ampleur pour savoir quelle perte fiscale le pays a perdu à travers ces ces différentes ces différents appels d'offre ?

Si vous pouvez donner la liste complète comme vous allez le faire de tous les marchés parler à Microsoft et où ils ont été signés si c'est en Irlande ou si en France parce que c'est pas la même fiscalité. Alors c'est ce n'est pas ma enfin nous pour le coup on a je n'ai pas connaissance peut-être que je connais pas assez bien le sujet hein qui a passé les marchés pour le ministère un marché pas a passé un marché un titulaire et c'est bien c'est bien vous le gar qui passé le marché pour l'enseignement supérieur c'est bien vous qui avez passé le marché pour les les données de santé vous savez bien à qui vous dess signez si vous signez avec les Irlandais Microsoft ou Microsoft S vousz le savoir ça de nous donner des éléments c'est tout. Je je je enfin je je pardon je je ne connais pas cette donnée.

En tout cas ce que je sais c'est que le titulaire de notre marché mais pas Microsoft titulaire dans notre marché c'est Comput Center. Après moi je ne sais pas exactement la nature des contrats que Comput a passé avec Microsoft. Alors c'est Comput Center qui qui qui a le marché de Microsoft.

Oui c'est ça. Vous n'êtes pas en direct avec Microsoft. Non Microsoft ne répond jamais directement un appel d'offre à ma connaissance.

Donc il y a bien une belle une belle chaîne quand même. Euh il y a une chaîne. Oui.

Oui. Il y a une chaîne. Ouais.

Ouais. Ouais. D'accord.

Donc et comme comme c'est pour ça que j'ai insisté dans mon introduction sur le poids des acteurs de la distribution dans le domaine de l'informatique parce que c'est c'est ça la particularité de ces de ces métiers. Oui mais mais même en finalité vousz quand même regarder euh cette chose-là dans vos quand vous avez passé avec votre distributeur, vous avez pas demandé s'il y avait une fiscalité française ou vous avez pas regardé ça de votre côté pour voir comment ça se passe. C'est un peu facile.

Ol juste un juste un élément. Donc nous on choisit le grossiste qui va nous commercialiser ensuite Microsoft. Donc si vous voulez le marché public sur lequel on a prise sur lequel on peut vérifier quelque chose marché avec le grossiste.

Après la relation que grossiste a avec Microsoft, elle est courante par le secret des affaires et mieux que pour ce pilate. On se lave. Oui, parce que vous avez toujours ce rôle de conseil.

Donc au bout du compte, vous devez en responsabilité tout de même prospecter et et savoir où on va petit ou gros acheteur d'ailleurs, tout le monde est important parce que la donnée, c'est un actif stratégique majeur dans le monde dans lequel nous vivons. Donc, il y a pas de données plus ou moins sensibles. Tout est sensible en réalité, y compris les petites collectivités comme les très grandes.

Voilà. Mais je trouve ça quand même incroyable. Pardonnez-moi mon étonnement de ne pas se poser la question qu'est-ce qu'il y a derrière le distributeur et qu'est-ce que du coup je vais offrir au conseiller comme solution ?

Euh voilà, c'est quand même important. C'est une question assez délicate. Autant sur les sujets de souveraineté, je reconnais que nous pouvons faire des choses.

C'est j'allais mettre j'allais vous faire un semble de de suggestions à la suite d'ailleurs de cette audition notamment par exemple sur le marché du multi-éditeur. Je pense qu'il faut qu'on qu'on évolue, j'ai regardé avant de venir à l'audition les fiches que nous faisons, elles sont un peu justes. Je pense qu'il faut qu'on donne plus d'informations sur les éditeurs de logiciel et notamment sur les conditions d'hébergement.

Je pense que nous avons un peu de travail à faire et on a bien entendu un de choses en écoutant enfin lors de cette audition et aussi autour de des autres. Je je reconnais très simplement que nous avons appris des choses sur lesquelles on réfléchit. Maintenant euh sur ça enfin le sujet du de la fiscalité, c'est un peu aussi ça rappelle le sujet de de Minze qu'on a eu le domaine du conseil parce que nous avons eu à un moment donné Mine comme titulaire d'un marché de conseil.

D'ailleurs, ça apparaîtra dans les données qu'on vous a donné. Mais euh notre compétence en matière de passation des marchés ne va pas juste à intégrer des éléments euh de de de fiscalité de l'entreprise. Par là, on va on va au-delà de ce qu'on peut demander raisonnablement même à un acheteur public comme nous. s'il faut qu'on regarde aussi bah nous on dans ce domaineelà nous devons dans ce domaineelà nous travaillons sur les attestations fiscal du titulaire déjà ces attestations c'est pas évident de les avoir mais on peut pas aller au-delà de la cation fiscale qu'on est tenu de demander vous donnez pas le marché si vous ne les avez pas donz pas le marché quand quand un de vos demandeurs qui répond à vos appels d'offre vous avez pas les pièces vous donnez pas le marché bah faites la même chose.

Mais encore une fois, la relation entre notre titulaire et Microsoft est un march est un acte de droit privé. Ce n'est pas le marché public. Le marché public, c'est le marché qui me lie au distributeurs.

Vous faites la même chose quand vous sélectionnez les gens qui répondent à vos appels d'offre. Si vous avez pas les pièces, vous ne retenez pas. Si vous avez pas tous les éléments pour vous, que ce soit une partie souveraineté ou soit partie fiscalité, vous êtes en droit de dire bah on prend pas.

Ou alors vous domiciliez. Alors même si c'est un acteur intermédiaire, il y a toute une chaîne, c'est trop facile à ce moment-là. Vous vous dédoignez tout, vous lavez les mains et puis vous vous êtes là.

Il y a a il y a il y a les ministère, il y a la commande publique, il y a un donneur ici et vous êtes intermédiaire. Donc voilà, tout va bien. Non mais la loi régit la relation entre le le le tit entre l'acteur public et le titulaire des marchés. il ne régit pas sauf quelques cas exceptionnels comme par exemple la législation sur les acteurs russes.

Mais c'est très rare que la loi aille jusqu'à réagir sur des questions comme ça la relation entre le titulaire et son propre fournisseur. C'est un sujet d'ailleurs sur lequel on peut la législation peut évoluer mais moi je j'interviens dans le cadre de la législation telle qu'elle existe. Alors, il y a le sujet de la législation et puis il y a le sujet aussi de la volonté politique parce que vous rappelez bien euh la l'histoire de l'UGAP et les objectifs de de l'UGAP.

Moi, je souhaitais quand même réagir sur quelques propos que vous avez pu tenir ainsi que monsieur Janoni. Je vous avoue que ça m'a frapper quand vous avez évoqué tout à l'heure l'approche proportionnée parce que on peut pas dire d'un côté on n'est pas là pour dire ce que l'acheteur a à faire et l'UGAP tenir le discours de on tient l'approche proportionnée. C'est à l'acheteur final de décider en conscience ce qu'est une approche proportionnée.

Et pour ça encore faut-il connaître les risques, les avantages, les inconvénients des différentes solutions. Et nous nous estimons, enfin je me tourne vers mes collègues, mais que l'UGAP doit pouvoir éclairer les choix de ses clients que sont les acheteurs publics et qui n'ont par définition pas le niveau d'expertise de l'UGAP. C'est bien d'ailleurs pour ça qu'ils font appel à l'UGAP.

Donc sur l'approche proportionnée, moi je je pense qu'il faut quand même pas se tromper. C'est c'est pas justement à Lug parce que c'est un peu le sentiment, c'est plus qu'un sentiment que nous avons, c'est qu'en réalité vous peut-être à votre corps défendant mais vous imposez cette idée de l'approche proportionnée en disant vous inquiétez pas, on a une solution équilibrée et évidemment il y a une forme d'habitude derrière une responsabilité collective pas que de Monsieur le président si je peux me permettre pour écrire mes propos je suis complètement d'accord avec vous mais quand je disais approche proportionnelle c'est par rapport à l'ajusteur final que je me placé c'està-dire que lorsque vous vous choisissez C'est ce que l'éditeur que vous allez choisir. Vous allez choisir l'éditeur ou la solution au regard de votre besoin.

Donc dans mon esprit, lorsque je parlais d'approche proportionnée, je me placais par rapport au client final de CAP. Après, je suis complètement d'accord avec vous que notre conseil, notre obligation de conseil, c'est de dire ben si vous prenez comme on a fait dans le CLAD, si vous prenez tel provider, vous allez être soumis à des législations extraeuropéennes et si vous prenez tel autre, vous ne serez pas soumis. Mais je suis complètement d'accord avec vous. proportionn c'est le besoin, c'est l'ajustement final par rapport à son besoin.

Oui. Mais sauf que ce que l'on constate, c'est que ce niveau d'appréciation aujourd'hui, il est on va être très prudent, il est très peu partagé. il est très peu partagé parce que même des personnalités qui devraient être plutôt expertes en la matière en réalité euh n'en mesure pas toujours les effets parce qu'il y a parfois la confusion entre le lieu d'hébergement et euh le respect des des législations et puis d'autres d'autres sujets qui sont emportés par ces fameuses législations extraterritoriales.

Deuxième sujet, c'est vous disiez tout à l'heure, on parle plutôt de sécurité et pas de souveraineté des données. Mais pour nous là en l'occurrence, les deux sont liés parce que il y a certes le sujet de la sécurité mais la souveraineté des données parce que comme le disait madame Morin de Sailli, c'est le pétrole aujourd'hui du 21e siècle. Et donc la plupart aujourd'hui, on le voit bien, des avancées technologiques, des créations de valeur se feront et se font déjà en grande partie à partir de de ces données.

Et donc protéger ces données, c'est évidemment protéger nos concitoyens, des informations confidentielles et cetera, mais c'est aussi donner une priorité qui semble assez logique à nos entreprises de pouvoir se développer demain. Le secrétaire général d'Orange que nous auditionnions juste avant vous nous le disait, 70 % de nos données, je crois que c'est le chiffre qu'il donnait, 70 % de nos données aujourd'hui hébergé d'une manière ou d'une autre ou transitant par notamment les opérateurs américains. Et après, on s'étonne que ces mêmes opérateurs américains continuent à avoir un temps d'avance.

Alors, il y a évidemment l'effet levier de la commande publique qui est beaucoup plus important, mais il y a ce rapport à la donnée sur lequel nous nous devons avoir une approche beaucoup plus sécurisante parce que jusque-l considérait que finalement c'était une sorte de bien commun et qu'il y avait pas d'intérêt particulier à à mettre des murailles autour de ces données. Alors monsieur le président, si vous me permettez encore de vous interrompre et de préciser mon propos, je me suis inspiré de votre propos introductif pour faire une distinction entre sécurité souveraineté parce que effectivement c'est une question de gradation et pour et là encore je rejoins largement ce que vous dites, c'est-à-dire que nous avons à terme un enjeu de souveraineté sauf que à l'heure actuelle nous ne pouvons pas encore faire de la souveraineté globale en matière de donnée. On doit passer d'abord un premier stade, me semble-t-il par la loi par la sécurité et après peut-être aller plus loin comme dit monsieur le sénateur avec de avec la loi.

Mais à ce stade, vous voyez bien que il y a d'abord pas une prise de conscience globale, on la partage, de l'ensemble des acteurs et ensuite je peux pas entendre ça, faut pas attendre la loi. La loi, elle est déjà votée. Nous avons voté des textes européens, d'accord, particulièrement sur la donnée.

D'accord. Et puis nous avons voté une loi sécurisée, réguler l'espace numérique, article 31 à mettre d'ailleurs en application en anticipation des décrets qui sont toujours pas sorti. On se demande pourquoi d'ailleurs.

C'est assez étrange. Bon bref, madame la sénatrice, si je peux me permettre ce que j'ai à dire, c'est pas avec une loi qu'on crée une industrie. Je sais bien et c'est pas moi la leçon parce que depuis 2013 exactement, je milite pour une politique industrielle et je ne fais que tenter d'éguillonner les gouvernements successifs, y compris Bruxellen pour que ça se fasse.

Donc c'est pas c'est pas moi pour le faire. Donc je sais bien la stratégie globale et offensive, nous le savons ici au Sénat qu'il faut mener malgré tout, il faut de la régulation et des textes législatif qui vont protéger la donnée. Et on a déjà les textes, d'accord ?

Donc il faut les appliquer, c'est tout. Euh il y a pas d'autres, on n pas à attendre encore les calangues grettes pour décréter la souveraineté. La souveraineté, elle va se construire avec une autonomie stratégique progressive qu'on doit déjà d'ors et déjà mettre en place par le levier de la commande publique.

Voilà, c'est pas pour rien d'ailleurs que l'Europe réfléchit aussi à la réforme ce code des marchés publics. En tout cas, moi je partage le le fait que il faut nous avons un devoir de conseil sur lequel il faut qu'on on travaille un peu. Au-delà de ça, je voudrais quand même, c'est peut-être pas tout à fait le sujet du jour, mais il y a quand même une distinction à faire entre les gros clients et les petits clients. gros clients, ils savent ils savent tout ça, ils suivent ces débats, ils sont conscients des choses, même si je je reconnais que même nous à notre niveau, on a dû étudier un peu le sujet pour bien comprendre tous ces enjeux d'extraterritorialité qui sont pas quand même totalement totalement simples.

Par contre, sur les petits acheteurs, moi je voudrais quand même appeler votre attention sur les conséquences du relèvement du seuil de la commande publique parce que beaucoup de ces ces ventes de logiciels se font à des des à des tarifs qui sont voilà qui sont qui sont du fonctionnement, qui sont pas forcément par rapport à un investissement des très gros montants. Aujourd'hui, si vous regardez la le budget d'une commune de de de de 25 30000 habitants, déjà au-dessus de 40000 € de la commande publique, il y a pas beaucoup de marchés et notamment les marchés cloud. Moi, je je permets d'appeler à votre attention que si on relève le seuil de manière assez conséquente ce que certains disent pour réétablir de la fluidité, enfin, on fait sortir un pont assez important compte tenu de l'éclatement des acheteurs de la sphère de la commande publique.

Et dans ce cas-là, les gens vont faire ce qu'ils veulent et d'ailleurs, je suis déjà persuadé que beaucoup des achats directs se passent sous les seuils de la commande publique. Donc, il passent même pas par le gap. et et je j'appelle l'attention sur le fait que le relèvement du seuil, si votre sujet c'est de de de qu'il y ait un devoir de conseil pour les les communes petites et moyennes, euh c'est ce seuil peut avoir une incidence parce que c'est toujours pareil, la souplesse permet de faire rentrer plein de PME, plein de de solutions, mais elle permet aussi de faire rentrer tout de tout.

Voilà. Et l'acheteur sous les seuils, il se comporte un peu comme le particulier quand même, il faut faut le dire. Donc je je n'ai pas à me prononcer sur un sujet sur lequel le le parlement est en train de regarder, je crois ce ce sujet, mais le relèvement du soleil de la commande publique peut avoir des incidences sur sur y compris sur les sujets de de logiciel.

Monsieur le président, c'est le serpent qui se mort la queue parce que quand on entend dire il faut une politique industrielle, elle est là, elle existe en réalité. un certain nombre d'acteurs, nous avons cessé de les auditionner ces dernières semaines qui nous disent que comme ils ont pas accès à la commande publique, ils ne peuvent pas continuer à se développer, prospérer, être une offre. Donc vous voyez donc le le rôle et l'importance que chacun des maillons de la chaîne porte en réalité dans cette affaire, elle existe en théorie la politique industrielle.

Seulement, il faut qu'elle soit accompagnée dans son développement et la commande publique en fait partie. et et ça me permet bah de terminer mon propos qui a été très fragmenté mais j'ai laissé les uns et les autres réagir sur la responsabilité de la puissance publique parce que on est bien d'accord avec vous, c'est pas avec des lois que nous créons des des industries. Pour autant dans un monde qui aujourd'hui est de plus en plus dérégulé euh nous perdrons toujours au jeu de la dérégulation.

Nous serons toujours derrière. Donc si nous voulons euh défendre nos entreprises, notre souveraineté d'une façon générale au-delà des données, non seulement nous avons cette approche défensive à avoir, ça c'est une évidence à minimale échelle européenne, on en est bien d'accord, mais l'effet de structuration de filière et là oui, la puissance publique à travers la commande publique a un rôle majeur à jouer. Il faut quand même redire les choses.

Tous les interlocuteurs que nous avons pu avoir lors de nos déplacements comme des auditions l'ont rappelé aux États-Unis, on se glorifie nous, on dit Google, Amazon et cetera, mais il ne serait rien sans la commande publique américaine, strictement rien. Donc ils ont financé une bonne partie de leur recherche et développement avec de la commande publique. Nous, nous ne devons pas avoir d'état d'â et mutualiser les efforts justement des collectivités, de l'État.

Et c'est là où l'UGAP, de notre point de vue, je pense pouvoir le dire en me tournant vers mes collègues, est un véhicule aussi important pour accélérer cette montée en puissance, cet effet levier de la commande publique tout en respectant le choix de l'acheteur. Mais c'est là où il faudra qu'on mette chacun devant ses responsabilités, l'État, les collectivités, dire à l'échelle nationale et européenne, voulons-nous véritablement développer des alternatives ? parce qu'autrement en effet on restera toujours dans le même scénario.

C'estàd que les offres américaines seront en entrée moins chères, sauf qu'une fois qu'on est captif, ils augmentent les prix. Donc en réalité, en définitive, on n'est pas forcément gagnant. Et oui, développer des alternatives, ça coûte cher, mais plus on attend, plus c'est tonéreux et on reste pied point lié.

Et donc euh c'est tout l'enjeu de la structuration des filières où là nous voyons bien qu'avec les sommes en jeu ne serait-ce que par les marchés UGAP euh il y a des potentialités de soutien à nos PME, à nos ETI demain à des grands groupes. Donc là, ce que nous souhaitons, enfin je pense que ça figurera dans le rapport, c'est que l'État notamment s'agissant de de l'UGAP fixe des lignes claires en cohérence avec les lois qui peuvent être votées à l'échelle nationale comme européenne pour que dans le respect de vos prérogatives avec le rôle de Conseil, mais vous soyez plus que jamais un acteur qui contribue à la structuration de ces filières dans l'intérêt de l'ensemble des pouvoirs publics. Enfin, c'est véritablement comme ça.

Je je pense pouvoir le dire que nous orienterons aussi nos préconisations. Donc c'est enfin j'espère que vous l'entendez bien ainsi. C'est une invitation à pouvoir répondre à ces défis qui nous semblent aujourd'hui déjà devant nous et qui vont prendre une acuité encore plus importante dans les mois et les années qui viennent.

Moi je je je je nous avons réfléchi, nous sommes des acteurs engagés sur ce secteur, même si effectivement notre débat était assez franc ensemble de sujets. Moi, j'insiste sur le fait que l'UGAP est un vecteur assez puissant de mise en en avant de solutions portées par les acteurs français européens. Si je sors un peu du numérique, nous avons pris la décision euh malgré un de de warning juridique par exemple d'afficher les labels made in France et origine France garantie.

Nous en sommes à peu près maintenant à 10000 références. Alors vous direz c'est peu par rapport au millions de références que nous avons mais c'est d'un début he nous sommes passés en quelques années 2000 à 10000. Ce sont donc la mise en avant des solutions nationales et européennes et quelque chose que j'estime possible de faire à condition que ce soit le le l'industriel qui prenne la responsabilité.

On va pas contrôler la le détail d'un d'un produit. Ça ça serait au-delà de nos forces mais c'est un axe qui nous paraît assez important. Euh si on passe au numérique, je pense qu'il faut qu'on essae j'ai de mieux mettre en avant aussi le caractère français et sur les logiciels dans le cadre du marché multi-éditeur, ce que j'ent de la réflexion collective.

Je pense aussi que il faut qu'on soit beaucoup plus précis, faut soit plus précis sur les modes berbergement qu'offre chaque éditeur de logiciel, les gros comme les petits parce que aujourd'hui, je constate une certaine tendance de gros éditeurs de logiciel à à forcer un peu la main sur l'évolution vers le cloud et c'est un sujet de de grande vigilance parce que voilà, ils vont dire si vous voulez des solutions qui font appel à l'intelligence artificielle, on a plus les données pour mettre ça sur vos serveurs et la bascule vers le cloud. Donc nous avons un sujet collectif d'accompagnement vers le cloud. D'où les enjeux émergement et traitement et la trè fois je hbergement et traitement.

Oui, mais euh le sujet du traitement, on l' on l' on l'a vu, mais je suis En plus ces éditeurs ont un sujet d'hébergement aussi, hein. Et voilà. que ce soit SAP, que ce soit que ce soit que ce soit Microsoft que je je mets de indifférente les français dans cette part à ce stade de raisonnement, tout le monde a un sujet d'hébergement des données et c'est un sujet sur lequel il faut aussi qu'on qu'on monte en maturité et dans un cas en fonction des situations, il faut qu'on regarde les avantages et les inconvénients en creusant un peu plus les sujets comme les solutions d'hébergement en France, les solutions de cryptage, les solutions et aussi ce qui sortira comme je l'ai dit des solutions partagé dans lesqu il y a une forme de partage et d'accord.

Je suis persuadé que c'est un relève aux législations extraterritorial. C'estàd que nous tous autant que nous sommes, nous ne sommes pas anti Microsoft. En revanche, l'immunité aux législations extraterritoriales, pour nous ce point n'est pas négociable.

Et donc je pense pouvoir dire que parmi les préconisations qui pourraient figurer dans le rapport sous toute réserve encore une fois parce qu'on en est pas encore là mais c'est de systématiser une clause d'immunité aux législations extraterritoriale sur tout ce qui concerne l'hébergement des données publiques. C'est de notre point de vue ça devrait être systématique. Et ensuite après bah si les géants américains s'organisent différemment et ils sauront faire pour respecter cette condition minimale, bah ce sera déjà un acquis.

C'est évidemment pas suffisant. On doit travailler à l'élaboration de solutions souveraines alternatives, robuste, efficace, sécurisée. Mais ce sujet, c'est la première urgence.

Et donc dans le cadre des appels d'offre passé par les acheteurs publics en direct ou par l'intermédiaire de l'UGAP, de notre point de vue, cette clause demain, elle aurait vocation à être systématiquement intégrée comme un un réflexe de de protection. C'est un finalement notre airbag à nous sur sur la protection la protection des données à ce stade. En tout cas, faut pas mettre ça directement dans un dans un marché public.

Mais en revanche, je voudrais revenir sur une autre chose que nous pouvons faire. Voilà, je renverserai un peu le sujet que j'ai évoqué tout à l'heure. J'ai dit que nous sommes pas des prescripteurs pour le des clients publics, mais par contre nous avons un vrai métier et une vraie responsabilité dans matière de l'exécution puisque comme on exécute nos marchés, on sait exactement ce qui rentre et ce qui sort de chez nous.

C'est pour ça que lorsqu'un prescripteur décide de nous donner par exemple le catalogue des logiciels qui souhaitent retenir et des logiciels qui ne souhaitent pas retenir, bah si c'est le prescripteur qui nous le dit, que ce soit l'État ou une très grande ville, une municipalité, nous avons la capacité de respecter très exactement la politique qu'il mène. C'est ce qu'on appelle un catalogue privatif ou un catalogue restreint. C'est que si un acteur souhaite autoriser au périmètre qu'elle tient 15 hommes de logiciel, le gapit le faire.

Et ça c'est un élément qui est qui est assez intéressant dans l'aide aux décideurs publics de mettre en place la politique qui est la leure en en connaissance de cause. Entendu. Merci monsieur le rapporteur, chers collègues.

Merci euh monsieur le président directeur général. Merci monsieur le directeur juridique. Les échanges ont été je pense utiles, instructifs pour les uns et pour les autres.

Merci à vous. Si dans les jours qui suivent vous souhaitiez nous faire parvenir des précisions, des éclairages complémentaires au-delà des informations que nous avons pu vous demander au cours de cette audition, n'hésitez pas. Merci à vous en tout cas.