Le contrôle des investissements étrangers étendu au cloud et à l’intelligence artificielle

Comme annoncé voilà un an par Bruno Le Maire, le gouvernement a modifié le décret dit Montebourg de 2014 pour étendre le contrôle des investissements étrangers au cloud et à l’intelligence artificielle, notamment. Une manière, selon le ministre, de mieux protéger la France contre le « pillage de nos technologies, de nos compétences, de nos savoir-faire ».

Depuis 2014, Bercy est en capacité de contrôler les investissements en France réalisés depuis l’étranger dans toute une série de secteurs d’activités : l’électricité, le gaz, les hydrocarbures, la santé publique, le transport, outre l’intégrité, la sécurité et la continuité des réseaux et des services de communications électroniques et les opérateurs d'importance vitale (OIV).

Des secteurs jugés sensibles au point que ces opérations doivent faire l’objet d’une autorisation préalable. Mieux, conformément aux articles L151-3 et R151-3 du Code monétaire et financier, le ministre peut assortir ce feu vert « de conditions visant à assurer que l'investissement projeté ne portera pas atteinte aux intérêts nationaux ».

Dans le décret du 29 novembre 2018, publié ce 1er décembre, Bercy a élargi plusieurs dispositions déjà en vigueur tout en y introduisant de nouvelles.

Extension du contrôle en matière d’interception et de détection des conversations

Déjà, ses services pouvaient contrôler les « activités portant sur les matériels conçus pour l'interception des correspondances et la détection à distance des conversations », telles que définies par l'article 226-3 du Code pénal. Une disposition importante qui calibre par ricochet les pouvoirs des services du renseignement et ceux de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information.  

Dans la nouvelle version adoptée ce week-end, ce contrôle concernera à l'avenir les « activités portant sur les matériels ou dispositifs techniques de nature à permettre l'interception des correspondances ou conçus pour la détection à distance des conversations ou la captation de données informatiques ».

S'intègrent donc dans ce périmètre d’autorisation les « dispositifs techniques », et plus seulement le matériel. De même, il ne sera plus nécessaire que ces outils soient conçus pour l’espionnage. Il suffira qu’ils soient « de nature » à le permettre, nuance importante et nettement plus généreuse. 

Plus vaste contrôle dans le secteur des OIV et de la cryptologie

Même mouvement s’agissant des contrats passés avec les opérateurs d’importances vitales (OIV). Le nouveau texte intègre les sous-traitants qui, dans ce cadre, produisent des biens ou prestent des services « dans le secteur de la sécurité des systèmes d'information ».

Comparons : jusqu’à présent, les activités exercées par les entreprises « ayant conclu un contrat d'étude ou de fourniture d'équipements au profit du ministère de la Défense » étaient soumises à autorisation, notamment lorsqu’elles étaient relatives aux moyens de cryptologie et les prestations de cryptologie. Le nouveau décret ajoute aux contrats d’étude et à la fourniture de biens, l’ensemble des prestations de service.

L’extension se vérifie également pour le contrôle des activités relatives à « l’intégrité, la sécurité et la continuité d'exploitation des systèmes électroniques et informatiques spécifiques » nécessaires à l'exercice des missions de la police, la gendarmerie, la sécurité civile et les douanes.

Le cloud et l’intelligence artificielle

Enfin, ce périmètre vise aussi la recherche et le développement relatifs à des moyens concernant la cybersécurité, l’intelligence artificielle, la robotique, la fabrication additive, semi-conducteurs, les biens et technologies à double usage, et les activités d'hébergement de données.

Plus exactement, sont concernées celles « dont la compromission ou la divulgation » serait de nature à porter atteinte à l’ordre public, la sécurité publique ou la défense nationale, notamment.  

On remarquera que le même texte profite de l’occasion pour aiguiser le pouvoir de contrôle du ministre de l’Économie. Lorsqu’il envisage d’accorder une autorisation, il doit examiner « si la préservation des intérêts nationaux » exige d’assortir l'autorisation d'une ou plusieurs conditions.

Jusqu’à présent, ces conditions ne pouvaient porter que sur des critères comme « la préservation par l'investisseur de la pérennité des activités, des capacités industrielles, des capacités de recherche et de développement ou des savoir-faire associés ».

Le décret du 1er décembre y ajoute « la protection des données » outre celles des « technologies ». « A-t-on vraiment envie que des investisseurs puissent commercialiser des données qui nous appartiennent  ? », s’était interrogé en ce sens le ministre de l’Économie dans ses vœux pour 2018.

Bruno Le Maire avait ajouté à cette occasion que ce texte publié onze mois plus tard allait permettre de « construire une France attractive », afin de mieux se protéger contre le « pillage de nos technologies, de nos compétences, de nos savoir-faire ».

Puisque ce secteur se densifie, le décret publié ce week-end profite de l’occasion pour étendre « aux sociétés cibles la possibilité de saisir l'administration d'une demande aux fins de savoir si l'opération envisagée est soumise à autorisation », conformément à l’article R153-7.

La quasi-totalité de ces nouvelles mesures s'applique aux demandes présentées à compter du 1er janvier 2019.