Écarts de compute, clouds souverains et dividende de confidentialité

Les pourparlers présumés de Nvidia visant à investir jusqu'à dix milliards de dollars dans l'introduction en bourse d'Anthropic, pour une valorisation frôlant les deux mille milliards de dollars, sont tombés la même semaine où Tech.eu a fait le compte de toute l'activité de capital-risque en Europe : un peu moins de quatre milliards d'euros répartis sur plus de soixante-dix transactions, la France représentant à elle seule plus de trois milliards de ce total, en grande partie grâce à la levée de fonds de trois milliards d'euros de Mistral. Mise en parallèle, la comparaison est sans appel. Un seul investissement américain dans une seule entreprise américaine vaudrait plus de trois fois tout ce qui a été levé dans le secteur technologique européen en une semaine. Un rapport rédigé par un groupe de hauts responsables politiques et d'économistes, dont l'ancienne commissaire Margrethe Vestager, a chiffré ce qu'il en coûterait pour combler cet écart : environ cent milliards d'euros pour tripler la capacité des *data centres* en Europe afin d'atteindre quinze pour cent de la part mondiale d'ici 2030, une somme présentée sans détour comme le prix à payer pour éviter ce que les auteurs ont qualifié de dépendance étrangère irréversible.

Cela ne veut pas dire qu'il ne se passe rien sur le terrain. La startup de puces EUCLYD, basée à Eindhoven, a clôturé une série A de plus de deux cents millions d'euros, codirigée par Samsung et EQT, et a nommé l'ancien patron d'ASML Peter Wennink au poste de président pour aider à construire l'infrastructure européenne de l'IA en partant du silicium. L'entreprise d'IA vocale ElevenLabs, d'origine polonaise, a levé cinq cents millions de dollars pour une valorisation de onze milliards de dollars, un tour de table que sa propre direction a présenté comme la preuve que l'Europe centrale et orientale peut produire des entreprises d'IA compétitives à l'échelle mondiale, et non plus simplement servir les ambitions des autres. De son côté, l'entreprise romaine Exein a accédé au statut de licorne avec une levée de fonds de deux cent soixante-dix millions de dollars pour sa cybersécurité pilotée par l'IA. L'argent est bien là. Il reste simplement inférieur d'un ordre de grandeur à ce qu'un seul *hyperscaler* peut engager d'une seule signature.

L'Europe ne manque pas d'ambition cette semaine, seulement d'envergure.

Bruxelles tente de bâtir sa souveraineté par les marchés publics tout autant que par les levées de fonds. La startup française Cycloid a été sélectionnée pour propulser la propre infrastructure de *cloud* souverain de la Commission européenne, un contrat de six ans et de cent quatre-vingts millions d'euros impliquant quatre fournisseurs de *cloud* européens et un portail développeur unifié pour jusqu'à cinq mille utilisateurs, ce qui constitue l'article le plus marquant que le site ait recueilli cette semaine. En parallèle, la Commission a publié une feuille de route pour la migration vers une cryptographie résistante aux ordinateurs quantiques, le groupe de travail étant coprésidé par des ministères néerlandais, et une petite startup néerlandaise, Custodea, a levé des fonds d'amorçage pour une plateforme de données hébergée dans l'UE, visant à donner aux PME le même type de contrôle sur leurs propres informations que celui dont disposent déjà les grandes entreprises. Il y a eu un bémol plutôt gênant à toute cette construction d'infrastructures : l'ENISA, la propre agence de cybersécurité de l'UE, a collaboré avec le CERT-EU en utilisant un modèle d'OpenAI pour déceler des failles de sécurité dans le code d'un projet de l'UE, un rappel que concevoir des systèmes souverains et employer des outils souverains pour les concevoir restent deux choses bien distinctes.

La réglementation a poursuivi cette semaine sa transition de l'élaboration des lois vers des orientations pratiques. La Commission a publié des orientations non contraignantes sur la manière dont les fournisseurs doivent étiqueter les contenus générés par l'IA et signaler les interactions avec l'IA avant que les obligations de transparence du Règlement sur l'IA n'entrent en vigueur en août 2026, tandis qu'une initiative parallèle AI Omnibus déplace le débat sur la conformité vers la façon dont les entreprises peuvent prouver l'utilisation proportionnée de données anonymisées ou synthétiques, plutôt que de s'en tenir à ce que les règles imposent sur le papier. La Commission a également présenté le KIDS Act, qui vise à limiter dans quelle mesure les réseaux sociaux et les plateformes vidéo peuvent être accessibles aux mineurs, la charge de la preuve incombant désormais aux fournisseurs de démontrer que leurs plateformes sont sûres dès la conception, et non plus aux régulateurs de prouver qu'elles ne le sont pas. Reste à savoir si les règles édictées se traduisent par des sanctions réellement perçues : outre-Manche, l'Ofcom a admis que la majeure partie des plus de sept millions de livres sterling d'amendes infligées dans le cadre de l'Online Safety Act restent impayées, évoquant des lacunes dans ses propres pouvoirs d'application. C'est le genre de lacune que Bruxelles voudra éviter de reproduire à mesure que ses propres règles sur la sécurité des enfants et l'IA passeront de la loi à la pratique.

Un fil conducteur plus discret a également traversé la semaine : la confidentialité en tant qu'atout plutôt que fardeau. Une étude du Fraunhofer ISI et de l'University of Kassel s'est opposée directement à l'idée qu'un assouplissement de la protection des données rendrait l'Europe plus compétitive, présentant plutôt le RGPD comme un label de qualité sur lequel les entreprises européennes pourraient s'appuyer, à condition que les petites structures bénéficient d'un accompagnement plus adapté pour s'y conformer. La Cour fédérale allemande a donné du poids à cet argument, en statuant que les consommateurs peuvent invoquer le droit national contre le partage non autorisé de données par les boutiques en ligne car le RGPD ne bloque pas de telles réclamations, relevant de fait le niveau d'exigence au-delà du seuil européen de référence. Et des chercheurs allemands spécialisés dans les droits numériques ainsi que des groupes de protection des données ont profité de la même semaine pour faire pression sur la Commission concernant une menace extérieure : le projet de loi C-22 du Canada, qui, selon eux, pourrait affaiblir le chiffrement de bout en bout pour les utilisateurs européens de manière extraterritoriale et qui s'inscrit en porte-à-faux par rapport à la propre jurisprudence de la Cour de justice de l'Union européenne, avec des appels incitant Bruxelles à réexaminer en réponse le statut d'adéquation du Canada au RGPD.

Dans l'ensemble, la semaine ressemble moins à une intrigue unique qu'à un continent testant plusieurs leviers de souveraineté à la fois : des capitaux qu'il ne peut pas encore égaler, des infrastructures qu'il acquiert lentement, des règles qu'il commence à appliquer, et un régime de confidentialité qu'il apprend à vendre comme une force plutôt qu'à s'en excuser. Aucun de ces leviers ne comble à lui seul le fossé que le carnet de chèques de Nvidia a creusé cette semaine. La question de savoir si leur combinaison y parviendra est celle à laquelle les institutions et les investisseurs européens tentent encore de répondre.