The Procurement Paradox: How Europe’s Own Rules Are Undermining Its Tech Sovereignty Le paradoxe des marchés publics : comment les propres règles de l’Europe sapent sa souveraineté technologique

By Suzanne Chartol and Adeline Chartol · Par Suzanne Chartol and Adeline Chartol · 7 July 2026

Adeline: Europe has a sovereignty problem and it is partly of its own making.

In early June 2026, the European Commission unveiled its most ambitious technology package to date: the European Technological Sovereignty Package, pairing a Cloud and AI Development Act (CADA) with a revised Chips Act, an open-source strategy, and a digitalisation roadmap for energy. The message from Brussels was unambiguous. As Commission President von der Leyen put it: “We cannot afford to depend on others for the technologies that keep our hospitals running, our energy grids stable, and our services secure.”

The numbers behind this urgency are stark. The EU remains structurally reliant on non-European providers for more than 80% of its digital products, services, infrastructure and intellectual property. Three US hyperscalers, Amazon, Microsoft and Google, hold over 70% of the European cloud market. This is not merely a commercial inconvenience; it is, in the Commission’s own language, a strategic vulnerability.

And yet, while Brussels crafts grand legislative remedies, a quieter, systemic problem persists inside the very institutions pushing for sovereignty: the way Europe buys technology actively works against the goals it is trying to achieve.

What “Sovereignty” Actually Means and Why the Definition Is the Problem

Tech sovereignty, as the Commission defines it, is Europe’s capacity to “develop, control and scale” critical technologies, infrastructure, services and data, while reducing strategic dependencies and exposure to foreign interference. The sovereignty framework introduced in CADA goes further, defining four trust tiers for cloud services used by public authorities, based on criteria including ownership, control, supply chain dependencies, data processing, and infrastructure location.

There is a particular irony buried in this framing. European procurement law, the backbone of how EU institutions and member states actually acquire technology, is built on a philosophically opposite definition of sovereignty: freedom to choose. The foundational principles of EU public procurement, as stated by the European Commission itself, are transparency, equal treatment and non-discrimination, widest possible competition, and proportionality. The single market project was built on the premise that the best outcome emerges from the broadest possible pool of competitors, regardless of their nationality or origin.

For most goods and services, this logic is sound. Competitive tendering keeps costs down, prevents corruption, and ensures public money delivers value. But for technology, and especially for artificial intelligence, applying the same philosophy produces a structural contradiction: the rules designed to maximise freedom of choice systematically prevent the exercise of strategic choice.

The Financial Regulation and the Tyranny of the Open Tender

EU institutions are governed by the Financial Regulation (EU, Euratom) 2024/2509, which requires that all significant purchases go through formal public procurement procedures. The European Parliament, the Commission, and the Council are all bound by its provisions. Any contract above the relevant threshold (currently €140,000 for central government bodies and €216,000 for sub-central authorities, as of January 2026) must be advertised in the Official Journal of the European Union and subjected to a competitive tender process.

For the Commission’s own IT operations, the scale is considerable. The DIGIT-TM III framework contract, covering digital-solution lifecycle management for the European Commission from 2026 to 2030, is valued at approximately €3.5 billion. Its stated objectives include “supporting European digital sovereignty by restricting delivery to EU territory.” But the mechanism by which DIGIT-TM III was designed and awarded is a multi-year, specification-heavy framework tender: exactly the kind of process that works best when you know what you want and the landscape is stable.

That is precisely the condition that does not apply to AI.

Why Traditional RFPs Cannot Keep Pace with AI

The traditional Request for Proposal process follows a predictable logic: identify a need, write a technical specification, publish a tender, evaluate bids against that specification, award a contract, and manage the relationship for its multi-year term. The entire system assumes that requirements can be defined in advance and that the technology market will remain sufficiently stable for those definitions to remain meaningful.

AI breaks every one of these assumptions.

AI capabilities are not evolving on annual cycles: they are shifting on a scale of weeks and months. A specification written in January may describe a capability frontier that has been comprehensively surpassed by April. A procurement process that takes six to twelve months from notice to contract award, a typical duration for complex EU tenders, means that by the time a contract begins, the technology procured may already be a generation behind the state of the art. The market has moved on before the ink is dry.

This is not merely a theoretical concern. Governments across Europe face significant barriers to AI procurement specifically because of the difficulty of selecting appropriate procurement procedures to suit the unique characteristics of AI systems. Negotiated procedures and innovation partnerships have been identified as potentially valuable alternatives, but they require careful consideration and are far less commonly used than standard open procedures.

The EU’s procurement framework does provide more flexible routes. The competitive dialogue allows contracting authorities to work through requirements with suppliers before finalising specifications, suitable precisely when authorities “do not know the technical specifications of what they wish to purchase.” The innovation partnership procedure, established under Article 31 of Directive 2014/24/EU, allows for joint development of innovative solutions with subsequent purchase. Pre-commercial procurement offers another route to engage with the market before a full tender.

These mechanisms exist. But they are used rarely, largely because they are more complex, demand greater internal expertise, and create more legal risk for contracting authorities than standard open procedures. The institutional incentive, reinforced by years of audit culture and accountability pressure, is to default to the familiar, the open RFP, even when the subject matter makes it poorly suited.

The practical result: many of the most innovative partners in AI avoid government RFPs altogether. They move in weeks, not quarters. A slow procurement cycle filters in those who are good at navigating bureaucracy, not those building the most capable or sovereign technology.

Suzanne: I live on the other side of this every day, and the real issue isn’t that anyone moves too slowly — it’s that the technology moves at an unusual pace. Even the government’s faster paths reflect that. Its innovation shop, the Defense Innovation Unit, aims to get prototype work on contract in 60 to 90 days, and in practice that runs closer to 120 — and that’s the streamlined route. A more conventional, specification-driven buy can take six months to a year to reach award, and for understandable reasons: rigor, fair evaluation, and accountability all take time.

Now set that against how we actually build. The technology itself is evolving extraordinarily fast, and we’re right on the cutting edge, innovating with it as it changes under our feet. At CORAS we release new capability weekly — or close to it — and we’ve deliberately structured the company around that pace. The practical result is that the product a customer bought a year ago has evolved substantially — in any meaningful sense, it is no longer the same product. So a specification written to describe it at signing is describing something that has already moved on by the time the work begins. The contract ends up chasing a target that won’t hold still — not because anyone did anything wrong, but because a process built for stable products is meeting a technology that changes by the month. Europe is dealing with the same reality. The useful question isn’t who’s to blame, because nobody really is. It’s what we do about it, together.

One thing we’ve done to blunt this from our side is in how we deliver it. Because it’s SaaS, customers get access to new capabilities as they arrive — the improvements land continuously, without opening a fresh contracting action every time. It doesn’t fix the front door — getting in still takes what it takes — but it means the value can compound at the speed the technology moves instead of the speed the contracting office moves. That’s worth noting for Europe, because it points at a partial answer: if you can’t make the buying fast, you can at least make each purchase go further once it’s done.

The Gap Between Rhetoric and Reality

Adeline: The contradiction plays out at the institutional level in ways that are almost tragicomic in their consistency. The European Parliament, in September 2025, adopted a resolution calling for reform of the EU’s procurement framework to “strengthen competitiveness, support a more sustainable economy, enhance the EU’s resilience and advance digitalisation.” The same resolution acknowledged that the framework “aimed to simplify procedures” but that “challenges remain in transparency, efficiency, and the broader use of non-price criteria.”

Meanwhile, the Commission’s own Single Market Strategy, adopted in May 2025, promised to simplify “overly complex EU rules” and foresaw revising procurement legislation to “mainstream the use of sustainability, resilience, social and, in certain technologies and strategic sectors, European preference criteria”, while still “ensuring competitive tenders.” A revision is planned for 2026.

But even this revision is conceived within the same philosophical frame: competition as the default, European preference as a criterion to be scored, openness as the principle. The idea that sovereignty might sometimes require the restriction of competition: that choosing a European provider over a more capable or cheaper non-European one is itself a legitimate strategic act remains deeply uncomfortable within EU legal culture, precisely because it conflicts with the foundational single market logic.

The CADA framework attempts to square this circle by making sovereignty a technical requirement rather than a preference: cloud services that fail to meet the sovereignty tiers simply cannot be used for sensitive public-sector workloads, regardless of price. This is legally elegant but practically incomplete: it tells institutions what they cannot buy without telling them how to buy what they should, quickly enough to matter.

There is also a sobering gap between what European governments proclaim and what they actually purchase. France champions European digital alternatives, yet its domestic intelligence agency extended its partnership with a major US data-analytics provider in December 2025. Germany, Denmark, and the Netherlands have moved away from certain foreign providers, but these are exceptions driven by political will, not structural change in procurement rules.

Suzanne: The US government hasn’t ignored this. It has put vehicles in place specifically to make procurement faster, and Other Transaction Authorities are a good example. They exist to speed up buying for prototypes and innovation work, and to reach the “nontraditional” companies the standard process tends to screen out. The appetite is real, and in my experience they can make a big difference. Used well, an OTA changes who can even get in the room.

None of this means competition is the enemy. You need a competitive process precisely so that players get evaluated fairly and the field stays level, and that’s worth protecting. The goal isn’t to skip the fairness. It’s to get it without rebuilding the world from scratch on every purchase.

There’s another shift quietly changing the picture: the move toward commercial off-the-shelf products. COTS is, by definition, not bespoke development — it’s a product that already exists, so it should deliver value faster and cheaper, with far less setup, than funding something custom. When you’re buying a proven product instead of commissioning a build, a lot of the old timeline-and-risk assumptions simply stop applying. The encouraging part is that the government already has more flexibility available to it than it tends to use. The mechanisms exist; the work is being willing to reach for them, deal by deal, instead of defaulting to the slowest path because it’s the familiar one.

A Structural Mismatch That Compounds Over Time

Adeline: The consequences of this mismatch compound in ways that are easy to underestimate.

When EU institutions procure technology through slow, specification-driven processes, they systematically favour established vendors with the resources to navigate complex tender procedures. These are typically large, often non-European, enterprises: the hyperscalers and global system integrators who have dedicated bid teams, existing framework agreements, and the legal infrastructure to respond to procurement requirements across multiple jurisdictions. European AI startups and scale-ups, the companies whose success is actually necessary for European tech sovereignty to become real, are filtered out.

Suzanne: The real cost here isn’t measured in dollars anyway. A complex tender quietly selects for the companies that are good at tenders — the ones with standing bid teams and the patience to answer a frozen specification — not the ones building the best technology. And that second group is exactly the one Europe keeps saying it needs.

Here’s what actually gets filtered out: not just small companies, but a way of working. The teams iterating fastest, shipping every week, willing to bet on something new are the least able to stop the world for a year to chase one contract. So they don’t. The process doesn’t reject them — they quietly decline to enter, which is worse, because the buyer never sees the capability that didn’t show up. The good news is that this part is fixable without rewriting the whole rulebook. You make it easier to get in the door: a smaller first step, a fast pilot, room to prove value before anyone commits to a decade. Land one real win in front of people and the next step gets easier. Start where you can, and build from there.

Adeline: The Microsoft France situation, disclosed in June 2025, illustrates the stakes. Microsoft’s Director of Public and Legal Affairs testified before the French Senate that Microsoft could not guarantee that data stored by French public-sector customers in its French data centre regions would never be transmitted to US authorities without the French government’s explicit consent. The US CLOUD Act of 2018 requires US companies to produce data stored anywhere in the world upon a valid government demand, creating an irresolvable tension with EU data protection obligations. Yet EU institutions continue to rely heavily on precisely these providers, because the procurement process that would enable a shift toward alternatives is too slow, too rigid, and too risk-averse to keep pace with the strategic urgency.

Suzanne: Government customers have gotten sharp about data. We get asked the data-ownership question constantly — who owns it, who can reach it, what happens to it if we walk away — and it’s usually one of the first things on the table, not the last. Plenty of these buyers have been burned by vendor lock-in before, and they’ve learned to ask at the start instead of discovering the answers later. At CORAS our stance has been clear and consistent: the government owns its data. We treat that as a guiding principle, something to design and contract around rather than an afterthought, and it ought to be table stakes for anyone selling to a sovereignty-conscious buyer.

And here’s the thing: these are just the right questions to ask of anyone you buy from. Years ago, when I was the one buying software, I asked the same things — who keeps the model we build together? Is the data mine? Where does it live, and what happens if we go our separate ways? Good buyers have always asked these questions; the sovereignty conversation has only made them louder. And what ultimately answers them is architecture, not a vendor’s postcode — a provider built the right way, with data kept in-region, owned by the customer, and no lock-in, can meet the sovereignty bar wherever it happens to be based. The reassuring part is that these are real, concrete answers, and the buyers who put the questions on the table early are the ones who end up in good shape. It’s less about deciding who to trust and more about doing the work, on both sides, to make the trust verifiable.

Conclusion: The Sovereignty Gap Is a Procurement Gap

Adeline: Europe’s tech sovereignty ambitions are real, and the June 2026 package represents a genuine political commitment of a kind that has been absent for too long. The four-tier sovereignty framework, the EuroCloud Federation, the tripling of data centre capacity, these are substantial structural investments.

But legislation defines what can be bought. Procurement determines what is actually bought. And right now, the procurement process inside European institutions is structurally misaligned with the strategic goals those institutions are proclaiming.

True tech sovereignty is not just about building European alternatives. It is about building the institutional capacity to choose them, quickly, intelligently, and at the pace that technology actually moves. Until the procurement process catches up with that reality, Europe will continue to find that its deepest commitment to sovereignty is, paradoxically, expressed through rules designed to prevent it.

Adeline writes from the EU. Suzanne writes from the US. Between them, they’ve seen procurement from both sides of the table.

Adeline : L'Europe a un problème de souveraineté, et c'est en partie de sa propre faute.

Début juin 2026, la Commission européenne a dévoilé son paquet technologique le plus ambitieux à ce jour : le paquet « Souveraineté technologique européenne », associant un règlement sur le cloud et l’intelligence artificielle (CADA) à un règlement révisé sur les puces, une stratégie en matière de logiciels libres et une feuille de route pour la numérisation du secteur de l’énergie. Le message de Bruxelles était sans équivoque. Comme l’a déclaré la présidente de la Commission, Ursula von der Leyen : « Nous ne pouvons pas nous permettre de dépendre d’autrui pour les technologies qui assurent le fonctionnement de nos hôpitaux, la stabilité de nos réseaux électriques et la sécurité de nos services. »

Les chiffres qui justifient cette urgence sont alarmants. L'UE reste structurellement dépendante de fournisseurs non européens pour plus de 80 % de ses produits, services, infrastructures et propriété intellectuelle numériques. Trois géants américains du cloud, Amazon, Microsoft et Google, détiennent plus de 70 % du marché européen. Il ne s'agit pas d'un simple inconvénient commercial ; c'est, selon les termes mêmes de la Commission, une vulnérabilité stratégique.

Et pourtant, tandis que Bruxelles élabore de grands remèdes législatifs, un problème systémique plus discret persiste au sein même des institutions qui militent pour la souveraineté : la manière dont l’Europe acquiert des technologies va activement à l’encontre des objectifs qu’elle tente d’atteindre.

Que signifie réellement la « souveraineté » et pourquoi sa définition pose problème ?

La souveraineté technologique, telle que définie par la Commission, est la capacité de l'Europe à « développer, contrôler et faire évoluer » les technologies, infrastructures, services et données critiques, tout en réduisant sa dépendance stratégique et son exposition aux ingérences étrangères. Le cadre de souveraineté introduit par la CADA va plus loin, en définissant quatre niveaux de confiance pour les services cloud utilisés par les autorités publiques, selon des critères tels que la propriété, le contrôle, les dépendances vis-à-vis de la chaîne d'approvisionnement, le traitement des données et la localisation de l'infrastructure.

Il y a une ironie particulière dans cette présentation. Le droit européen des marchés publics, qui régit concrètement l'acquisition de technologies par les institutions de l'UE et les États membres, repose sur une définition de la souveraineté philosophiquement opposée : la liberté de choisir. Les principes fondamentaux des marchés publics de l'UE, tels qu'énoncés par la Commission européenne elle-même, sont la transparence, l'égalité de traitement et la non-discrimination, la concurrence la plus large possible et la proportionnalité. Le projet de marché unique a été bâti sur le principe que le meilleur résultat résulte d'une concurrence aussi large que possible, indépendamment de la nationalité ou de l'origine des candidats.

Pour la plupart des biens et services, ce raisonnement est valable. Les appels d'offres concurrentiels permettent de réduire les coûts, de prévenir la corruption et de garantir l'utilisation optimale des fonds publics. Mais pour la technologie, et notamment pour l'intelligence artificielle, l'application de cette même philosophie engendre une contradiction structurelle : les règles conçues pour maximiser la liberté de choix empêchent systématiquement l'exercice du choix stratégique.

La réglementation financière et la tyrannie de l'appel d'offres ouvert

Les institutions de l'UE sont soumises au règlement financier (UE, Euratom) 2024/2509, qui impose que tous les achats importants fassent l'objet de procédures de marché public formelles. Le Parlement européen, la Commission et le Conseil sont tous tenus de respecter ses dispositions. Tout contrat dépassant le seuil applicable (actuellement 140 000 € pour les administrations centrales et 216 000 € pour les collectivités territoriales, à compter de janvier 2026) doit être publié au Journal officiel de l'Union européenne et faire l'objet d'un appel d'offres concurrentiel.

Pour les opérations informatiques de la Commission, l'enjeu est considérable. Le contrat-cadre DIGIT-TM III, portant sur la gestion du cycle de vie des solutions numériques pour la Commission européenne de 2026 à 2030, est estimé à environ 3,5 milliards d'euros. Parmi ses objectifs déclarés figure le « soutien à la souveraineté numérique européenne par la limitation de la fourniture de services au territoire de l'UE ». Or, le mécanisme de conception et d'attribution de DIGIT-TM III repose sur un appel d'offres pluriannuel aux spécifications très précises : un processus qui fonctionne précisément lorsque les objectifs sont clairement définis et que le contexte est stable.

C’est précisément cette condition qui ne s’applique pas à l’IA.

Pourquoi les appels d'offres traditionnels ne peuvent pas suivre le rythme de l'IA

La procédure traditionnelle d'appel d'offres suit une logique prévisible : identifier un besoin, rédiger un cahier des charges techniques, publier un appel d'offres, évaluer les offres au regard de ce cahier des charges, attribuer le contrat et gérer la relation contractuelle pendant toute sa durée pluriannuelle. L'ensemble du système repose sur l'hypothèse que les exigences peuvent être définies à l'avance et que le marché technologique restera suffisamment stable pour que ces définitions conservent leur pertinence.

L'IA remet en cause chacune de ces hypothèses.

Les capacités de l'IA n'évoluent pas selon des cycles annuels : elles évoluent à l'échelle de semaines ou de mois. Un cahier des charges rédigé en janvier peut décrire un niveau de performance déjà largement dépassé en avril. Un processus d'acquisition qui dure de six à douze mois, de la notification à l'attribution du marché (durée typique des appels d'offres complexes de l'UE), signifie qu'au moment où un contrat entre en vigueur, la technologie acquise peut déjà avoir une génération de retard. Le marché a évolué avant même que l'encre ne soit sèche.

Il ne s'agit pas d'une simple préoccupation théorique. Les gouvernements européens rencontrent des obstacles importants en matière d'acquisition de technologies d'IA, notamment en raison de la difficulté à choisir des procédures d'achat adaptées aux caractéristiques uniques de ces systèmes. Les procédures négociées et les partenariats d'innovation constituent des alternatives potentiellement intéressantes, mais elles nécessitent un examen approfondi et sont beaucoup moins fréquemment utilisées que les procédures ouvertes classiques.

Le cadre des marchés publics de l'UE offre des voies plus flexibles. Le dialogue compétitif permet aux pouvoirs adjudicateurs de définir leurs besoins avec les fournisseurs avant de finaliser le cahier des charges, ce qui est particulièrement adapté lorsque les pouvoirs adjudicateurs « ne connaissent pas les spécifications techniques du produit qu'ils souhaitent acquérir ». La procédure de partenariat d'innovation, établie en vertu de l'article 31 de la directive 2014/24/UE, permet le développement conjoint de solutions innovantes en vue d'un achat ultérieur. La procédure de passation de marchés pré-commerciale constitue une autre voie d'accès au marché avant un appel d'offres complet.

Ces mécanismes existent. Cependant, ils sont rarement utilisés, principalement parce qu'ils sont plus complexes, exigent une expertise interne plus poussée et engendrent davantage de risques juridiques pour les pouvoirs adjudicateurs que les procédures ouvertes classiques. L'incitation institutionnelle, renforcée par des années de culture de l'audit et de pression en matière de responsabilité, pousse à privilégier la méthode traditionnelle, l'appel d'offres ouvert, même lorsque le sujet traité s'y prête mal.

Conséquence concrète : nombre des partenaires les plus innovants en IA évitent purement et simplement les appels d’offres gouvernementaux. Ils agissent en quelques semaines, et non en quelques trimestres. La lenteur du processus d’acquisition favorise ceux qui savent naviguer dans les méandres de la bureaucratie, et non ceux qui développent les technologies les plus performantes ou les plus souveraines.

Suzanne : Je suis confrontée à cette réalité au quotidien, et le véritable problème n’est pas la lenteur des procédures, mais le rythme effréné des évolutions technologiques. Même les procédures accélérées du gouvernement en témoignent. Son organisme d’innovation, la Defense Innovation Unit, vise à contractualiser les prototypes en 60 à 90 jours, mais en pratique, ce délai est plutôt de 120 jours – et il s’agit là de la voie la plus rapide. Une procédure d’achat plus classique, basée sur un cahier des charges, peut prendre de six mois à un an avant d’aboutir, et ce pour des raisons évidentes : la rigueur, l’évaluation équitable et la responsabilisation exigent du temps.

Comparons cela à notre façon de travailler. La technologie évolue à une vitesse extraordinaire et nous sommes à la pointe du progrès, innovant constamment. Chez CORAS, nous lançons de nouvelles fonctionnalités chaque semaine, ou presque, et nous avons délibérément structuré l'entreprise autour de ce rythme. Concrètement, le résultat est que le produit acheté par un client il y a un an a considérablement évolué ; en réalité, ce n'est plus le même produit. Ainsi, un cahier des charges rédigé lors de la signature du contrat décrit un produit déjà en évolution au moment où les travaux commencent. Le contrat se retrouve à poursuivre un objectif qui ne restera pas stable, non pas par suite d'une erreur de notre part, mais parce qu'un processus conçu pour des produits stables se heurte à une technologie qui change tous les mois. L'Europe est confrontée à la même réalité. La question pertinente n'est pas de savoir qui est responsable, car personne ne l'est vraiment. La question est de savoir comment nous pouvons y remédier, ensemble.

Pour atténuer ce problème de notre côté, nous avons notamment optimisé notre mode de distribution. Grâce au modèle SaaS, les clients bénéficient des nouvelles fonctionnalités dès leur arrivée : les améliorations sont déployées en continu, sans qu'il soit nécessaire de relancer un nouveau contrat à chaque fois. Cela ne résout pas le problème de l'accès au service – les démarches restent les mêmes – mais cela permet à la valeur ajoutée de croître au rythme des évolutions technologiques, et non à celui des processus contractuels. C'est un point important pour l'Europe, car il apporte un élément de réponse : si l'achat n'est pas rapide, on peut au moins optimiser chaque acquisition.

Le fossé entre la rhétorique et la réalité

Adeline : Cette contradiction se manifeste au niveau institutionnel d’une manière presque tragi-comique tant elle est cohérente. En septembre 2025, le Parlement européen a adopté une résolution appelant à une réforme du cadre des marchés publics de l’UE afin de « renforcer la compétitivité, soutenir une économie plus durable, accroître la résilience de l’UE et faire progresser la numérisation ». Cette même résolution reconnaissait que le cadre « visait à simplifier les procédures », mais que « des défis subsistent en matière de transparence, d’efficacité et d’utilisation plus large de critères autres que le prix ».

Parallèlement, la stratégie pour le marché unique de la Commission, adoptée en mai 2025, promettait de simplifier les « règles de l'UE trop complexes » et prévoyait de réviser la législation sur les marchés publics afin de « généraliser l'utilisation des critères de durabilité, de résilience, sociaux et, dans certaines technologies et secteurs stratégiques, de préférence européenne », tout en « garantissant des appels d'offres concurrentiels ». Une révision est prévue pour 2026.

Mais même cette révision s'inscrit dans le même cadre philosophique : la concurrence comme norme, la préférence européenne comme critère d'évaluation, l'ouverture comme principe. L'idée que la souveraineté puisse parfois exiger une restriction de la concurrence – que choisir un fournisseur européen plutôt qu'un fournisseur non européen plus compétent ou moins cher constitue en soi un acte stratégique légitime – demeure profondément problématique au sein de la culture juridique de l'UE, précisément parce qu'elle entre en conflit avec la logique fondatrice du marché unique.

Le cadre CADA tente de résoudre ce dilemme en faisant de la souveraineté une exigence technique plutôt qu'une option : les services cloud qui ne répondent pas aux critères de souveraineté ne peuvent tout simplement pas être utilisés pour les charges de travail sensibles du secteur public, quel qu'en soit le prix. Juridiquement élégant, ce cadre s'avère en pratique incomplet : il indique aux institutions ce qu'elles ne peuvent pas acheter sans leur préciser comment acquérir ce dont elles ont besoin, et ce, suffisamment rapidement pour que cela ait un impact concret.

Il existe également un écart préoccupant entre les déclarations des gouvernements européens et leurs achats réels. La France défend les alternatives numériques européennes, pourtant son agence de renseignement intérieur a prolongé son partenariat avec un important fournisseur américain d'analyse de données en décembre 2025. L'Allemagne, le Danemark et les Pays-Bas se sont éloignés de certains fournisseurs étrangers, mais il s'agit d'exceptions motivées par une volonté politique, et non par une réforme structurelle des règles d'acquisition.

Suzanne : Le gouvernement américain n’a pas ignoré ce problème. Il a mis en place des mécanismes spécifiques pour accélérer les procédures d’acquisition, et les autorisations de transactions autres (OTA) en sont un bon exemple. Ces autorisations visent à accélérer les achats pour les prototypes et les travaux d’innovation, et à atteindre les entreprises « non traditionnelles » que la procédure standard a tendance à exclure. L’intérêt est réel et, d’après mon expérience, elles peuvent faire toute la différence. Bien utilisées, les OTA peuvent même changer la donne et permettre à chacun d’accéder aux marchés.

Cela ne signifie en aucun cas que la concurrence est l'ennemie. Un processus concurrentiel est nécessaire pour que les joueurs soient évalués équitablement et que les chances restent égales, et cela mérite d'être protégé. L'objectif n'est pas de faire l'impasse sur l'équité, mais de l'atteindre sans avoir à tout reconstruire à chaque achat.

Un autre changement discret modifie la donne : la montée en puissance des produits commerciaux sur étagère (COTS). Par définition, un COTS n'est pas un développement sur mesure ; c'est un produit existant, qui devrait donc apporter de la valeur plus rapidement et à moindre coût, avec une mise en place bien plus simple, que le financement d'un projet personnalisé. Lorsqu'on achète un produit éprouvé au lieu de le faire développer, bon nombre des anciennes hypothèses en matière de délais et de risques deviennent caduques. Le point positif est que le gouvernement dispose déjà d'une plus grande flexibilité qu'il ne l'utilise généralement. Les mécanismes existent ; il s'agit maintenant d'oser les solliciter, projet par projet, au lieu de choisir systématiquement la solution la plus lente par habitude.

Un déséquilibre structurel qui s'aggrave avec le temps

Adeline : Les conséquences de cette inadéquation s’accumulent d’une manière qu’il est facile de sous-estimer.

Lorsque les institutions de l'UE acquièrent des technologies par le biais de processus lents et axés sur des spécifications précises, elles privilégient systématiquement les fournisseurs établis disposant des ressources nécessaires pour gérer des procédures d'appel d'offres complexes. Il s'agit généralement de grandes entreprises, souvent non européennes : les géants du cloud et les intégrateurs de systèmes mondiaux qui possèdent des équipes dédiées aux appels d'offres, des accords-cadres existants et l'infrastructure juridique leur permettant de répondre aux exigences d'achat dans de multiples juridictions. Les jeunes pousses et les entreprises en forte croissance spécialisées dans l'IA, dont le succès est pourtant indispensable à la réalisation de la souveraineté technologique européenne, sont ainsi écartées.

Suzanne : De toute façon, le véritable coût ici ne se mesure pas en dollars. Un appel d’offres complexe sélectionne discrètement les entreprises expertes en la matière — celles qui disposent d’équipes dédiées et de la patience nécessaire pour répondre à un cahier des charges figé — et non celles qui développent les meilleures technologies. Or, c’est précisément ce second groupe dont l’Europe affirme avoir besoin.

Voici ce qui est réellement écarté : non seulement les petites entreprises, mais aussi une façon de travailler. Les équipes les plus agiles, qui livrent des produits chaque semaine et sont prêtes à miser sur l’innovation, sont les moins disposées à s’arrêter pendant un an pour décrocher un seul contrat. Alors elles ne le font pas. Le processus ne les rejette pas ; elles refusent discrètement de participer, ce qui est pire encore, car l’acheteur ne voit jamais les compétences qui n’ont pas été présentées. La bonne nouvelle, c’est que ce problème est corrigeable sans pour autant bouleverser toutes les règles. Il suffit de faciliter l’accès au marché : une première étape plus modeste, un projet pilote rapide, la possibilité de prouver sa valeur avant tout engagement de dix ans. Obtenez un succès concret et la suite sera plus facile. Commencez là où vous pouvez et développez votre activité progressivement.

Adeline : La situation de Microsoft France, révélée en juin 2025, illustre bien les enjeux. Le directeur des affaires publiques et juridiques de Microsoft a témoigné devant le Sénat français que Microsoft ne pouvait garantir que les données stockées par ses clients du secteur public français dans ses centres de données situés en France ne seraient jamais transmises aux autorités américaines sans l’accord explicite du gouvernement français. La loi américaine CLOUD Act de 2018 oblige les entreprises américaines à fournir les données stockées partout dans le monde sur simple demande d’un gouvernement, créant ainsi une tension insoluble avec les obligations de l’UE en matière de protection des données. Pourtant, les institutions européennes continuent de dépendre fortement de ces mêmes fournisseurs, car la procédure d’achat qui permettrait une transition vers des alternatives est trop lente, trop rigide et trop frileuse face au risque pour répondre à l’urgence stratégique.

Suzanne : Les clients gouvernementaux sont devenus très exigeants en matière de données. La question de la propriété des données nous est constamment posée : à qui appartiennent-elles ? Qui peut y accéder ? Que deviennent-elles si nous cessons de les utiliser ? C’est généralement l’un des premiers points abordés, et non le dernier. Nombre de ces acheteurs ont déjà été victimes de dépendance vis-à-vis d’un fournisseur et ont appris à poser ces questions dès le départ plutôt que de chercher les réponses plus tard. Chez CORAS, notre position est claire et constante : les données appartiennent à l’État. Nous considérons cela comme un principe fondamental, un élément à prendre en compte dans la conception et la contractualisation, et non comme une simple considération secondaire. Cela devrait être une condition sine qua non pour toute entreprise vendant à un acheteur soucieux de la souveraineté des données.

Et voici le point essentiel : ce sont précisément les bonnes questions à poser à tout fournisseur. Il y a des années, lorsque j’achetais des logiciels, je posais les mêmes questions : qui conserve le modèle que nous créons ensemble ? Les données sont-elles notre propriété ? Où sont-elles stockées et que se passe-t-il si nous nous séparons ? Les bons acheteurs ont toujours posé ces questions ; le débat sur la souveraineté des données n’a fait que les amplifier. Et ce qui y répond en fin de compte, c’est l’architecture, et non l’emplacement du fournisseur. Un fournisseur bien conçu, avec des données stockées localement, appartenant au client et sans dépendance vis-à-vis d’un tiers, peut satisfaire aux exigences de souveraineté quel que soit son lieu d’implantation. Le plus rassurant, c’est que ce sont des réponses concrètes et que les acheteurs qui posent ces questions dès le départ sont ceux qui s’en sortent le mieux. Il s’agit moins de choisir à qui faire confiance que de travailler ensemble, de part et d’autre, pour que cette confiance soit vérifiable.

Conclusion : Le déficit de souveraineté est un déficit d'approvisionnement

Adeline : Les ambitions de l’Europe en matière de souveraineté technologique sont bien réelles, et le paquet de juin 2026 représente un véritable engagement politique, comme on n’en avait pas vu depuis trop longtemps. Le cadre de souveraineté à quatre niveaux, la fédération EuroCloud et le triplement de la capacité des centres de données constituent des investissements structurels considérables.

Mais la législation définit ce qui peut être acheté. Les marchés publics déterminent ce qui est effectivement acheté. Or, actuellement, le processus d'achat au sein des institutions européennes est structurellement inadapté aux objectifs stratégiques que ces institutions proclament.

La véritable souveraineté technologique ne se limite pas à la création d'alternatives européennes. Il s'agit de développer les capacités institutionnelles nécessaires pour les choisir rapidement, intelligemment et au rythme réel de l'évolution technologique. Tant que les procédures d'acquisition ne refléteront pas cette réalité, l'Europe constatera que son attachement le plus profond à la souveraineté s'exprime, paradoxalement, par des règles conçues pour l'empêcher.

Adeline écrit depuis l'Union européenne. Suzanne écrit depuis les États-Unis. À elles deux, elles ont une vision globale des marchés publics, des deux côtés de la barrière.

Also published on Substack. Subscribe to get new dispatches by email. Également publié sur Substack. Abonnez-vous pour recevoir les nouvelles dépêches par e-mail.