Présidentielle 2027 : les Français face à l’intelligence artificielle

De l'incident au symptôme Il y a encore quelques années, la préoccupation première des ministères portait sur le niveau de protection à atteindre des outils utilisés. Fallait-il généraliser l'authentification renforcée, à quel rythme, pour quels coûts, avec quelles frictions acceptables pour les agents ? Personne, à l'époque, n'imaginait sérieusement que les identifiants d'un agent puissent servir pendant plusieurs semaines à extraire méthodiquement les données fiscales de centaines de milliers de contribuables sans que rien ne s'en aperçoive. Cette hypothèse n'est hélas plus théorique, elle est devenue notre actualité, et risque d’être nourrie à court terme faute de changement de cap. Le 14 août dernier, la Direction générale des finances publiques (DGFIP) reconnaissait par communiqué que deux intrusions successives, survenues fin juin puis fin juillet, avaient permis l'extraction des données fiscales de 678 000 particuliers et professionnels. Le mécanisme de l'intrusion, rendu public dans les jours suivants, ne relevait d'aucune prouesse technique : il s'agissait de l'utilisation frauduleuse des identifiants d'un agent de la DGFiP et d'un tiers habilité, permettant aux attaquants de se comporter comme des utilisateurs légitimes. Revendiquée par un groupe se désignant sous le nom de ZeroBytes, l’attaque s'est prolongée par la mise en vente des données extraites sur les marchés clandestins spécialisés. Contrairement à ce que l'expression pudique de vol de données fiscales pourrait laisser entendre, les données collectées dépassent très largement la seule identification comptable des contribuables : identification fiscale, état civil complet, coordonnées postales, téléphoniques et électroniques, situation fiscale intégrale, composition familiale, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source. Jusqu'à la totalité des messages échangés avec l'administration par messagerie sécurisée. En somme, tout ce qui permet à un tiers malintentionné de reconstituer la vie financière et personnelle d'une famille, et de construire des scénarios d'escroquerie d'une crédibilité que les tentatives de hameçonnage ordinaires n'atteignent que très rarement, pour ne pas dire jamais. La structure derrière la conjoncture La tentation demeure évidemment grande de traiter cet épisode comme la manifestation d'une conjoncture défavorable, ou comme la conséquence de l'audace croissante de groupes cybercriminels dont la sophistication progresserait plus vite que nos défenses. Fréquemment opposée, cette lecture présente le mérite d'être rassurante mais comporte l’énorme défaut d'être fausse. L'illustration la plus frappante de ce qui se joue réellement se trouve dans la simple mise en regard des quatre grandes affaires qui ont rythmé les quinze dernières années. En février 2021, la société Dedalus Biologie (prestataire de plusieurs centaines de laboratoires de biologie médicale) voyait s'échapper les données de santé de près de 500 000 patients, résultats d'analyses et pathologies incluses. L'enquête de la Commission nationale de l'informatique et des libertés (CNIL), conclue par une sanction de 1,5 millions d'euros en avril 2022, établissait que l'incident résultait de vulnérabilités applicatives non corrigées et d'une architecture de stockage centralisé conçue sans segmentation ni chiffrement suffisants. En février 2024, les sociétés Viamedis et Almerys (opérateurs du tiers payant) subissaient à quelques jours d'écart deux intrusions qui exposaient les données de 33 millions de Français, soit près d'un habitant sur deux. La faille exploitée reposait sur l'usurpation d'identifiants d'utilisateurs professionnels disposant d'accès légitimes. En février 2026, la DGFiP elle-même subissait un premier incident affectant plus d'un million de comptes bancaires référencés dans le fichier FICOBA, à la suite déjà de l'usurpation des identifiants d'un fonctionnaire. Six mois plus tard, l'affaire de cet été venait clore provisoirement la série, avec un mécanisme d'intrusion structurellement identique. Bien que touchant trois secteurs différents, ces quatre affaires majeures présentent donc un seul et même motif. Le Premier ministre lui-même reconnaissait d'ailleurs, en mai 2026, dans un communiqué officiel publié sur info.gouv.fr, que la France enregistrait depuis le début de l'année une moyenne de trois vols de données par jour visant les systèmes d'information de l'État. Cet aveu, qui mérite d'être considéré comme tel, prouve que les incidents qui se succèdent ne sont pas des accidents sans lien entre eux, mais la manifestation répétée d'un choix conceptuel et budgétaire qui a été fait, année après année, dans un climat général où la logique de constitution des bases prévalait sur la logique de leur protection, et où la question de la légitimité de leur constitution même n'était pour ainsi dire jamais posée. L’impensé de la collecte publique Deux racines qu’il convient d’examiner en miroir convergent pour expliquer cette répétition. La première racine est celle du sous-investissement chronique dans la sécurisation des SI publics, non pas seulement financier mais peut-être et surtout humain. Dans la plupart des ministères et des grandes administrations, les équipes RSSI sont structurellement sous-dotées au regard du périmètre qu'elles doivent couvrir et de la sophistication des menaces auxquelles elles font face, tandis que leurs compétences sont prisées par le secteur privé qui offre des niveaux de rémunération que les grilles indiciaires des administrations ne peuvent égaler. Les cycles budgétaires du numérique public, tels qu'ils ont été pratiqués depuis 20 ans, ont privilégié le déploiement de fonctionnalités nouvelles, visibles et politiquement valorisables, au détriment de l'entretien souterrain des infrastructures existantes, dont la vétusté silencieuse s'accumule d'exercice en exercice sans jamais donner lieu aux arbitrages douloureux que la prudence patrimoniale imposerait. Une mission d'information de l'Assemblée nationale, rendue publique en juillet 2026, ajoutait à ce tableau une donnée qui en aggrave la portée, en documentant qu’en 2025 79% des dépenses logicielles publiques françaises étaient orientées vers des éditeurs américains. Dès lors, quelles sont les capacités de notre administration pour sécuriser souverainement des systèmes dont les briques essentielles échappent à son contrôle direct ? La seconde racine est plus profonde encore : il s’agit du syndrome du « trop de collecte ». Depuis plus de 15 ans, la conception des grandes infrastructures numériques publiques a été guidée par un présupposé implicite selon lequel il fallait collecter le plus possible pour ne pas se priver des potentialités analytiques futures. Ce présupposé, qui s'est enraciné à la faveur de la vague de l'open data au début des années 2010 et de celle de l’IA depuis 2020, a produit un empilement de bases dont la finalité initiale a parfois été perdue de vue, et dont la conservation alimente aujourd'hui des risques disproportionnés au regard de leur utilité opérationnelle réelle. Dans son article 5, le RGPD pose pourtant le principe de minimisation qui impose que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies. Ce principe, dont la CNIL rappelle régulièrement l'importance, n'a jamais été véritablement opérationnalisé au niveau de la conception des grandes infrastructures publiques, comme si son application ne devait concerner que les traitements privés, et non les fichiers régaliens dont l'utilité présumée dispensait de tout examen critique. Chaque fichier centralisé constitué par la République engage pourtant une promesse implicite de protection. Quand cette promesse ne peut plus être tenue à la hauteur du risque que le fichier génère, la lucidité impose de rouvrir la question de sa légitimité même, plutôt que de se contenter d'annoncer des mesures de renforcement qui en l'état de nos moyens humains et budgétaires, ne suffiront pas à enrayer les survenues. Refonder la doctrine : minimisation, investissement, architecture Un constat n'a de valeur que s'il débouche sur des propositions. Trois leviers relèvent de la responsabilité conjointe des pouvoirs publics, des directions des systèmes d'information (DSI) et des acteurs privés qui les accompagnent. Si ces trois leviers ne prétendent pas à l'exhaustivité, ils constituent cependant les chantiers les plus urgents à ouvrir pour rompre avec ces funestes répétitions. Le premier levier est celui d'une politique qui applique enfin aux fichiers publics l'exigence de minimisation imposée par le droit européen. Les instruments existent, puisque l'article 30 du RGPD oblige la tenue d'un registre documentant finalités, destinataires et durées de conservation de chaque traitement, et que l’article 35 commande une analyse d'impact pour tout traitement à risque élevé, dont la CNIL a outillé la conduite. Leur limite tient donc à leur temporalité : conduits à la création du traitement, ces exercices sont rarement repris ensuite, si bien que les grands fichiers régaliens conçus des décennies avant l'entrée en application du règlement n'ont jamais été rejugés à l'aune du principe de minimisation. Des clauses de réexamen conduiraient cependant à des décisions difficiles mais qu’il conviendrait d’assumer : supprimer les collectes qui ne se justifient plus, réduire les durées de conservation, recomposer les architectures fondées sur des présupposés que nous ne partageons plus. La question posée à chaque nouveau projet ne peut plus être seulement quelles données allons-nous collecter et comment allons-nous les protéger, mais quelles données pouvons-nous ne pas collecter tout en atteignant les finalités qui nous sont assignées ? Le deuxième levier est celui du rééquilibrage des investissements humains et financiers en faveur d'une sécurisation effective, supposant tant une revalorisation durable des équipes RSSI publiques que le passage à l'opposabilité d'un outillage d'achat aujourd’hui facultatif. Le cahier des clauses simplifiées de cybersécurité, approuvé par l'arrêté du 18 septembre 2018, ne s'applique en effet qu'aux marchés qui y renvoient expressément ; la circulaire du 5 février 2026 sur la souveraineté numérique dans la commande publique recommande d'intégrer des critères de notation sur la sécurité et la protection des informations sans en faire une obligation ; la proposition de loi sénatoriale relative à la sécurisation des marchés publics numériques n'entrerait en vigueur qu'au 1er janvier 2030, en exemptant les communes de moins de 30 000 habitants. Le problème français n'est donc pas l'absence de doctrine d'achat, mais son caractère non contraignant et le délai que nous nous accordons pour l'appliquer. Le troisième levier est celui d'une architecture repensée, rompant avec la centralisation systématique héritée des 20 dernières années par la segmentation des grandes bases, des zones de confiance différenciées selon la sensibilité des données, un chiffrement au repos et en transit avec cloisonnement des clés, et des habilitations traçables pour les accès les plus sensibles. Ces chantiers n'ont rien de spéculatif, et existent déjà ailleurs en Europe. L'Estonie a fondé son administration numérique dès 2001 sur la plateforme X-Road, où chaque organisme conserve ses propres données, qui transitent sans jamais être stockées dans une base unique, et où chaque citoyen peut savoir qui a consulté ses informations et pour quel motif. Déployé aujourd'hui dans plus de 25 pays, ce modèle démontre qu'une architecture distribuée n'est pas un renoncement à l'efficacité administrative, mais plutôt sa condition en environnement de menace élevée. La France en maîtrise du reste la grammaire, puisque le principe « dites-le-nous une fois » fait circuler la donnée entre administrations sans la dupliquer. Nous savons donc bâtir des architectures d'échange qui n'accumulent pas, sans pour autant l'avoir appliqué à nos grands fichiers historiques qui continuent de fonctionner selon la logique du silo constitué une fois pour toutes et dont l'affaire de l'été a rappelé tant la vulnérabilité que la dangerosité. La responsabilité de l’État collecteur La protection des données publiques n'est pas exclusivement un enjeu technique, mais plutôt un enjeu politique au sens le plus rigoureux du terme : elle engage la manière dont notre République conçoit la relation entre son administration et les citoyens dont elle traite les données. Cette relation repose sur une culture du geste sûr et de la manipulation prudente des informations, que les administrations les plus sensibles ont su construire sur des décennies, et qui demande aujourd'hui à être étendue à l'ensemble de l'appareil public, à la mesure des risques que la période fait peser sur lui. L'action collective engagée par plusieurs centaines de victimes du piratage de la DGFiP, sur le fondement de l'article 82 du RGPD, constitue à cet égard un signal qu'il serait imprudent d'ignorer : si les décisions à venir venaient à concéder un droit à indemnisation pour la seule crainte de l'usage frauduleux des données compromises, elle ouvrirait une jurisprudence dont la portée pourrait transformer profondément la constitution des grandes bases publiques. Il serait d'une ironie cruelle que la République, qui a su bâtir sur des décennies la confiance de ses citoyens dans son administration fiscale, la laisse s'éroder faute d'avoir posé à temps la seule question qui vaille : celle de la proportion entre ce que nous collectons et ce que nous savons réellement protéger. S’obliger à cette lucidité n’est en rien défaitiste, et c’est même son exact contraire. Parce que cette lucidité refuse la fuite en avant qui consiste à multiplier et empiler les annonces sans questionner les choix conceptuels qui produisent les incidents au long cours. Nos données publiques ne sont pas volées parce que nous les protégeons mal, mais parce que nous en collectons trop au regard des investissements faits pour les protéger. Il est de la responsabilité collective des décideurs publics, des directions des systèmes d'information, des entrepreneurs du numérique et de la fonction publique dans son ensemble de faire en sorte que la promesse faite à chaque citoyen dont les données sont confiées à notre administration soit enfin traitée pour ce qu'elle est : un engagement de la République. Léa Behr est CEO de RespublicIA. Sources citées Communiqué de la Direction générale des finances publiques du 14 août 2026 relatif aux deux intrusions survenues fin juin et fin juillet 2026, affectant 678 000 particuliers et professionnels. Question écrite n° 13231 de Mme Marie-France Lorho à l'Assemblée nationale, relative au piratage du fichier FICOBA de février 2026 et à la sécurité des systèmes de la DGFiP. Communiqué du Premier ministre, « Cybersécurité : plan d'action pour renforcer la protection numérique de l'État », info.gouv.fr, mai 2026. Sanction de la CNIL à l'encontre de Dedalus Biologie, avril 2022, à la suite de la fuite de données de santé de près de 500 000 patients révélée en février 2021. Chronique des attaques contre Viamedis et Almerys de février 2024, exposant les données de 33 millions de Français ; enquêtes de la CNIL et communiqués officiels des deux sociétés. Mission d'information de l'Assemblée nationale sur la souveraineté numérique publique, publiée en juillet 2026 : 79 % des dépenses logicielles publiques françaises orientées vers des éditeurs américains en 2025. Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit RGPD, en particulier son article 5 relatif au principe de minimisation et son article 82 relatif au droit à réparation. Recommandations de la Commission nationale de l'informatique et des libertés sur la minimisation des données dans les traitements publics, publiées sur cnil.fr.

Synthèse Le guide pratique « Faire vivre la neutralité en entreprise – Mettre en place un règlement intérieur conforme et opérationnel », publié par la Commission République laïque du Laboratoire de la République, accompagne employeurs, responsables RH et managers dans la gestion du fait religieux au travail. À la fois juridique et opérationnel, il rappelle les règles applicables et propose une méthode pour concilier liberté de conviction, exigences professionnelles et bon fonctionnement du collectif de travail.  Le premier enjeu est de distinguer clairement laïcité et neutralité. Dans le service public, les agents sont soumis à une obligation de neutralité. Dans l’entreprise privée, en revanche, la liberté de manifester ses convictions religieuses est le principe et les restrictions demeurent l’exception. Une entreprise privée ne peut donc pas invoquer la laïcité pour imposer à l’ensemble de ses salariés de rendre leurs convictions invisibles. Les restrictions doivent être justifiées par la nature de la tâche à accomplir et proportionnées au but recherché.   Depuis la loi de 2016, l’employeur dispose toutefois de la faculté d’introduire une clause de neutralité dans son règlement intérieur. Celle-ci n’est pas obligatoire et doit correspondre à un besoin réel de l’entreprise. Pour être valable, elle doit respecter plusieurs conditions fixées par les jurisprudences française et européenne : répondre à un besoin véritable, être appliquée de manière cohérente et systématique, concerner toutes les convictions religieuses, philosophiques et politiques sans distinction et rester limitée au strict nécessaire. Lorsqu’elle est motivée par une politique de neutralité à l’égard de la clientèle, son champ d’application doit être circonscrit aux salariés concernés.   Le guide insiste aussi sur la nécessité de construire cette politique dans le dialogue. La consultation du Comité social et économique (CSE) est obligatoire avant l’introduction d’une clause dans le règlement intérieur. Une concertation en amont avec les représentants du personnel est également recommandée afin d’identifier les situations concrètes, de prévenir les contestations et de favoriser l’appropriation des règles. Les managers doivent eux aussi être associés et sensibilisés pour assurer une application cohérente du dispositif.   Une large place est consacrée aux situations rencontrées au quotidien : port de signes religieux, demandes de congés pour fêtes religieuses, prière, alimentation, prosélytisme ou refus d’exécuter certaines tâches. Le guide invite à distinguer les manifestations de convictions qui ne perturbent pas le fonctionnement de l’entreprise de celles qui contreviennent aux obligations professionnelles. Le recrutement fait également l’objet d’une vigilance particulière : aucune candidature ne peut être écartée en raison d’une conviction religieuse et les questions portant sur la religion ou la pratique du candidat sont proscrites. L’employeur peut en revanche s’assurer de sa disponibilité et de son aptitude à répondre aux exigences professionnelles du poste, ainsi que l’informer de l’existence d’une clause de neutralité.  Enfin, le guide se veut avant tout un outil d’aide à la décision. Modèle de clause, réponses aux cas concrets, tableau de bord, références jurisprudentielles et checklist finale permettent aux entreprises de sécuriser leur démarche. Son objectif : fournir un cadre permettant de respecter la liberté de conviction tout en donnant aux employeurs et aux managers les moyens d’agir lorsque l’organisation du travail, la sécurité, les relations professionnelles ou les obligations contractuelles sont en jeu.   Pascale d’Artois est présidente du cabinet Movimentia (Stratégie RH & Compétences), ancienne directrice générale de l’Agence pour la Formation Professionnelle des Adultes (Afpa). Théo Fouquer est sherpa de la commission République laïque du Laboratoire de la République. Sous la direction de Michel Lalande, préfet honoraire, responsable de la commission République laïque du Laboratoire de la République. Guide Neutralité en entrepriseTélécharger

Refonder le contrat territorial Au Théâtre municipal de Sens, la journée du vendredi 28 août était placée sous le signe de la refondation du contrat territorial. Après les discours d’ouverture de Jean-Michel Blanquer, président du Laboratoire de la République, et de Paul-Antoine de Carville, maire de Sens et président de l’Agglomération du Grand Sénonais, une première séquence consacrée à l’intelligence artificielle a ouvert les réflexions sur les grandes transformations à venir, avec Frédéric Dabi et Olivier Girard.  La matinée s’est ensuite concentrée sur l’organisation territoriale de la France et la nécessité de repenser les rapports entre l’État et les territoires. La table ronde « Vers une DATAR+ : repenser l’aménagement du territoire » a réuni Clément Beaune, Bruno Bonnell, Éric Hazan et Fabien Verdier, sous la modération de Nicolas Burblis et Laurianne Rossi. Elle a été suivie d’une intervention de Benjamin Morel sur la « République de la subsidiarité », avant un débat consacré aux nouvelles libertés locales avec François Baroin, Xavier Bertrand, Carole Delga et Hervé Marseille. Ces échanges ont placé au centre des discussions la décentralisation, la capacité d’action des collectivités et la recherche d’un nouvel équilibre territorial.   La matinée s’est achevée avec l’écrivain et académicien Érik Orsenna, autour de la place de l’agriculture et de l’eau dans l’aménagement du territoire. L’après-midi a élargi cette réflexion aux conditions concrètes de la vie quotidienne. La table ronde modérée par Marin de Nebehay « Mieux vivre, mieux se déplacer, mieux habiter : le défi écologique du quotidien » a réuni François Durovray, Franck Leroy, Agnès Pannier-Runacher, Laurianne Rossi et Guillaume Vuilletet. Mobilités, logement, infrastructures et transition écologique ont ainsi été abordés à partir de leur traduction concrète dans la vie des Français et dans l’action des territoires.  La journée s’est poursuivie avec une séquence géopolitique consacrée à « La France face au réarmement du monde », modérée par Christian Lequesne et Jean-François Cervel. Eléonore Caroit, Éric Danon, Frédéric Encel, Pierre Heilbronn, Nathalie Loiseau et Pierre Vimont ont confronté leurs analyses sur les bouleversements de l’ordre international et la place que la France et l’Europe doivent y tenir. Plusieurs cartes blanches données à Florian Bachelier, Fahimeh Robiolle, Patrice Franceschi et Hélé Béji ont prolongé la réflexion. Une table ronde fut ensuite consacrée à « L’engagement des jeunes » et a réuni Yaël Braun-Pivet, présidente de l’Assemblée nationale, Giulia Acha Miljkovic, conseillère municipale de Kingersheim, Alexia Fossaluzza, présidente d’Ambitions Républicaines, les Jeunes du Laboratoire de la République, et Charlyne Péculier, directrice générale de l’association Un abri qui sauve des vies et première adjointe au maire de Cesson. Une séquence consacrée aux nouvelles formes d’engagement et à la place que les jeunes générations peuvent prendre dans la vie civique et politique.  La réflexion s’est poursuivie sur le terrain économique avec François Baroin, maire de Troyes et ancien ministre, et Thierry Breton, ancien commissaire européen et ancien ministre. Modéré par Emmanuel Combe, leur échange, intitulé « Rétablir les comptes publics pour mieux investir », a placé au cœur du débat l’articulation entre maîtrise des finances publiques et capacité de la France à préparer l’avenir.  Enfin, la soirée s’est conclue par une rencontre consacrée à « Littérature et liberté d’expression », réunissant Boualem Sansal, écrivain élu à l’Académie française, et Claudio Galderisi, président du Conseil scientifique du Laboratoire de la République et président de l’Assemblée générale de l’Institut français d’islamologie, sous la modération de Rachel Binhas. https://www.youtube.com/watch?v=dkIti78K238