Depuis 2016, l’UE a érigé un cadre normatif complet mais fragmenté, à travers l’adoption d’un certain nombre d’actes normatifs : Règlement général sur la protection des données (RGPD), le Data Governance Act (2022), le Data Act (2023), l’AI Act (2024), le Digital Markets Act (DMA), le Digital Services Act (DSA), la directive NIS2 et le Cyber Resilience Act (CRA).
Ces règlements ont doté l’UE du cadre juridique le plus avancé au monde dans le domaine du numérique, alors que, paradoxalement, l’UE constate un retard crucial dans ce domaine en termes d’entrepreneuriat, d’infrastructure et d’innovation, qui se traduit par une dépendance critique envers les puissances étrangères, notamment les États-Unis :
- 70 % du marché cloud en Europe est détenu par des entreprises américaines (Amazon, Microsoft et Google), tandis que la part cumulée des fournisseurs européens plafonne à 15 %.
- Le plus grand opérateur européen d’informatique en cloud ne représente que 2 % du marché de l’UE.
- En 2024, les États-Unis comptent 274 licornes liées à la tech, contre 49 en Europe, soit 5,5 fois moins.
- Depuis 2017, environ 70 % des modèles d’IA fondamentaux ont été développés aux États-Unis. La quasi-totalité des modèles d’IA de pointe sont américains (GPT 4/5, Claude, Gemini, Llama, etc.) ou chinois (Baidu, Alibaba, Tencent, ByteDance). En Europe, seuls quelques acteurs notables émergent (Mistral IA, Aleph Alpha, et des initiatives open source), mais avec des moyens et un capital largement inférieurs (quelques centaines de millions à quelques milliards d’euros, contre des dizaines de milliards de dollars pour les concurrents américains) et une forte dépendance à des GPU et à du cloud non européens pour l’entraînement et le déploiement.
- Le principal instrument dont dispose l’UE pour soutenir les nouvelles technologies révolutionnaires à faible niveau de maturité, l’Éclaireur du Conseil européen de l’innovation (CEI), dispose d’un budget de 256 millions d’euros pour 2024, contre 4,1 milliards de dollars pour l’Agence pour les projets de recherche avancée en matière de défense (Defence Advanced Research Projects Agency, DARPA) et 2 milliards de dollars pour les autres agences consacrées à des projets de recherche avancée (ARPA) aux Etats-Unis.
Cette dépendance expose l’UE aux pressions extérieures. Ainsi assujettie, la France, comme l’UE dans sa globalité, se trouve affaiblie dans la définition de sa politique numérique. Pour le dire autrement, cette dépendance empêche l’UE et la France de disposer pleinement de leur souveraineté numérique et de leur indépendance stratégique. C’est d’autant plus vrai que la dépendance dans les flux de données implique un risque élevé d’ingérence extérieure dans les affaires des États membres de l’UE. Historiquement, c’est face à ce risque pour la souveraineté numérique que le droit des données s’est construit. Le RGPD a été grandement influencé par le scandale provoqué par les révélations d’Edward Snowden , qui a dévoilé en 2013 la surveillance de masse d’internet et de tous les moyens de télécommunication effectués par la NSA. Il faut également citer l’affaire Cambridge Analytica, qui en 2018 a révélé la captation organisée des données de 87 millions d’utilisateurs de Facebook pour proposer des contenus favorables au Brexit au Royaume-Uni ou à l’élection de Donald Trump aux États-Unis, mettant en œuvre une manipulation politique à grande échelle.
Pour contrer l’ingérence états-unienne, l’UE a mis en œuvre sa puissance normative, dans un formidable exemple d’extraterritorialité et de soft power réglementaire. La thèse de « l’effet de Bruxelles » (The Brussels Effect), mise en avant par la professeure américaine Anu Bradford peut se résumer ainsi : le marché européen est trop lucratif pour être délaissé par les grandes entreprises opérant sur le marché mondial, et, différencier les services fournis pour le marché européen se révèle trop coûteux. L’alternative la plus adaptée pour ces entreprises est alors de se conformer au standard de droit européen dans la globalité des services proposés. Ainsi, non seulement le standard de protection européen est adopté, mais il s’exporte par le biais des entreprises tant que le choix le plus lucratif est de le respecter.
Par exemple, les entreprises qui transfèrent les données de l’UE vers un État tiers, comme les États-Unis, doivent s’assurer qu’elles sont protégées de manière au moins équivalente au standard européen, le cas échéant, en apportant des aménagements compensatoires. C’est ainsi que les très nombreuses entreprises recourent au chiffrement des données qu’elles captent et transfèrent. Le droit européen du numérique, en l’occurrence, le RGPD, a servi à compenser le déficit européen en matière d’infrastructure et d’innovation par une garantie juridique, et a permis de s’affranchir, du moins en théorie, de l’ingérence états-unienne malgré la dépendance technologique de l’UE.
Le droit européen du numérique s’est grandement exporté au-delà des entreprises opérant sur le marché européen. Des normes inspirées du RGPD ont été adoptées dans de nombreux pays, y compris en Californie, même s’il y a parfois des différences substantielles. Les réglementations numériques qui ont suivi le RGPD s’appuient sur cet effet de Bruxelles. S’imposant aux GAFAM, elles deviennent un régime de facto global dès leur adoption. Cependant, cette stratégie commence à s’éroder, pour plusieurs raisons :
- La révolution de l’IA. Depuis 2022, date de mise sur le marché de ChatGPT, l’agent conversationnel d’OpenAI, le monde vit une nouvelle révolution industrielle. La technologie IA impacte déjà tous les secteurs. Or, l’essentiel de la recherche fondamentale, des modèles les plus perfectionnés, des compétences et de la puissance de calcul restent concentrés aux États-Unis. L’impact actuel et potentiel de cette technologie révolutionnaire n’a fait qu’accroître la dépendance technologique envers les géants américains, alors que les services qu’ils proposent sont devenus un besoin essentiel à la compétitivité des entreprises françaises et européennes.
- Apparition d’une concurrence réglementaire chinoise. La Chine développe, elle aussi, un cadre réglementaire spécifique pour l’IA, qui s’applique aux services visant des utilisateurs chinois. À ce stade, la portée extraterritoriale et la capacité d’attraction du standard chinois restent bien inférieures à celles du RGPD. Certains auteurs y voient cependant les prémices d’un « Beijing Effect ».
- Les menaces de l’administration Trump. L’administration Trump a régulièrement critiqué les réglementations numériques européennes, les présentant comme discriminatoires à l’égard des entreprises américaines, et a plusieurs fois menacé d’utiliser des instruments commerciaux (droits de douane, mesures de rétorsion ciblées) pour répondre à ces réglementations. Cette attitude, combinée au poids économique et politique des GAFAM, réduit la crédibilité de la menace réglementaire européenne aux yeux de ces entreprises, qui peuvent compter sur un soutien politique américain dans les négociations internationales.
La souveraineté numérique européenne ne peut plus se contenter de l’extraterritorialité de son droit. Le besoin de pouvoir reposer sur des infrastructures et des acteurs européens est de plus en plus grand. Or, la fragmentation du régime juridique de l’UE est souvent pointée du doigt comme un facteur expliquant le retard des entreprises européennes dans le domaine du numérique et l’absence de « champions européens » capables de rivaliser avec les grands acteurs américains et chinois. Le rapport Draghi sur la compétitivité européenne avait par ailleurs préconisé une simplification réglementaire.
C’est dans ce contexte qu’intervient l’omnibus, dans le but de stimuler l’innovation dans le numérique, en simplifiant la conformité réglementaire dans le domaine du numérique, particulièrement dans le cadre du développement et l’exploitation de technologies d’IA. En d’autres termes, l’UE passe d’une phase de réglementation à une phase d’optimisation. Mais cette consolidation sert-elle ses intérêts ou conforte-t-elle la position des acteurs internationaux externes ?