W debacie o suwerenności cyfrowej często pojawiają się hasła dotyczące chmury obliczeniowej, sztucznej inteligencji, danych czy zależności od amerykańskich platform technologicznych. Rzadko jednak który kraj podejmuje próbę kompleksowego zdiagnozowania problemu i zaproponowania konkretnych działań naprawczych. Francja właśnie to zrobiła.

8 lipca opublikowano liczący 453 strony raport parlamentarnej komisji śledczej ds. suwerenności cyfrowej i zamówień publicznych (Rapport n° 3054). Dokument jest efektem ponad sześciu miesięcy prac komisji, która przeprowadziła ponad 80 przesłuchań przedstawicieli administracji publicznej, sektora technologicznego, ekspertów, naukowców, prawników i organizacji pozarządowych. Prace prowadził poseł Philippe Latombe, a sprawozdawczynią była Cyrielle Chatela.

Sam dokument jest szczegółową analizą funkcjonowania francuskiego państwa oraz próbą odpowiedzi na pytanie, jak odzyskać kontrolę nad infrastrukturą cyfrową, danymi i kluczowymi technologiami. W raporcie znalazło się 47 rekomendacji, obejmujących administrację publiczną, edukację, zamówienia publiczne, chmurę obliczeniową, sztuczną inteligencję, cyberbezpieczeństwo oraz politykę przemysłową.

Co istotne, wiele z przedstawionych problemów jest równie aktualnych w Polsce. Dlatego dokument warto potraktować nie tylko jako analizę francuskiego rynku, ale również jako inspirację do dyskusji o kierunku rozwoju polskiej polityki cyfrowej.

Autorzy raportu wychodzą z założenia, że cyfrowa suwerenność nie oznacza izolacji od światowych technologii. Chodzi przede wszystkim o zdolność państwa do samodzielnego podejmowania decyzji i zachowania ciągłości działania nawet wtedy, gdy zagraniczny dostawca ograniczy dostęp do swoich usług. Jeszcze kilka lat temu takie scenariusze wydawały się mało prawdopodobne. Dzisiaj są analizowane jako realne ryzyko.

Raport przypomina m.in. przypadki ograniczania dostępu do zaawansowanych modeli sztucznej inteligencji oraz możliwość zastosowania tzw. kill switch, czyli sytuacji, w której zagraniczny dostawca – pod wpływem decyzji własnego rządu lub obowiązujących przepisów – może zablokować dostęp do usług wykorzystywanych przez administrację publiczną. W ocenie francuskich parlamentarzystów oznacza to, że zależność od kilku globalnych dostawców przestała być wyłącznie problemem ekonomicznym. Stała się kwestią bezpieczeństwa narodowego.

Ile kosztuje brak cyfrowej suwerenności?

Zgromadzone w raporcie dane z państwowej centrali zakupowej UGAP nie pozostawiają złudzeń. Wśród 50 największych dostawców oprogramowania dla francuskiej administracji aż 79% wartości umów trafia do firm z USA. Łącznie francuskie urzędy wydają rocznie ok. 1,5 mld EUR na zagraniczne oprogramowanie, z czego zdaniem autorów raportu aż 1 mld EUR można by natychmiast przekierować do europejskich dostawców.

Monopol jest skoncentrowany w rękach trzech graczy: Microsoftu (systemy operacyjne i biurowe), Oracle (bazy danych) oraz VMware (wirtualizacja). Zależność ta wykracza daleko poza sektor publiczny, bo całe europejskie przedsiębiorstwa wydają rocznie na amerykański software i chmurę 264 mld EUR.

Problem potęguje eksterytorialność amerykańskiego prawa (np. CLOUD Act czy FISA). W samym tylko II półroczu 2025 r. rząd USA skierował do Microsoftu ponad 5,5 tys. wezwań do wydania danych, a do Google blisko 60 tys. (z czego Google spełniło aż 89% z nich). W tym samym czasie GAFAM wydaje na lobbing w Unii Europejskiej ponad 35 mln EUR rocznie, utrzymując armię ponad 200 lobbystów i odbywając średnio jedno spotkanie dziennie z przedstawicielami Komisji Europejskiej.

Dokument proponuje zbiorczo 47 środków (zarówno zaleceń, jak i konkretnych propozycji legislacyjnych), których celem jest odzyskanie cyfrowej kontroli nad państwem.

1. Zéro Microsoft w szkołach i zwrot ku Open Source

Najbardziej wyrazistą reformą edukacyjną ma być cel „Zéro Microsoft” w szkołach oraz nowelizacja Kodeksu Edukacji, nakazująca nauczanie otwartego oprogramowania. Komisja postuluje, aby do 1 stycznia 2030 r. 100% zamówień publicznych na oprogramowanie w państwie, u operatorów publicznych i w spółkach skarbu państwa opierało się na rozwiązaniach open source.

Dla wsparcia tego przejścia zaproponowano powołanie fundacji France Libre Open Source (FLOS) oraz dedykowanego funduszu LOGIC, które mają pełnić rolę krajowego filaru wspierającego europejski Sovereign Tech Fund. Co ciekawe, raport sugeruje również umożliwienie urzędnikom państwowym poświęcenia jednego dnia pracy w roku na współtworzenie cyfrowych dóbr wspólnych (communs numériques).

2. Doktryna „Cloud au centre” i twarde veto dla braku suwerenności

Komisja wzywa do bezwzględnego przenoszenia wrażliwych danych państwowych wyłącznie do hostów posiadających certyfikat SecNumCloud (wolnych od jurysdykcji eksterytorialnej) oraz proponuje wprowadzenie moratorium na budowę nowych data centers, które nie spełniają wymogów suwerennościowych i energetycznych.

W obszarze zakupów publicznych centralizacja przez UGAP ma przejść zmianę: centrala będzie miała obowiązek oficjalnie informować kupujących o jurysdykcji prawnej wydawcy oprogramowania (wskazując np., że spółka z siedzibą w Irlandii i tak podlega pod prawo USA, jeśli jej matka pochodzi z Ameryki).

3. Preferencja dla europejskich firm, “Golden Shares” i walka o innowacje

Wymiar gospodarczy raportu opiera się na postulacie wprowadzenia europejskiego odpowiednika Buy American Act (czyli Buy European Act). Wśród propozycji znalazło się również żądanie zwrotu ulg podatkowych na badania i pomoc na start (np. Crédit d’Impôt Recherche), jeśli dana spółka technologiczna zostanie sprzedana podmiotowi spoza Europy.

Aby zapobiec utracie najważniejszych firm z zakresu AI i technologii deep-tech, państwo miałoby objąć specjalne akcje (golden shares) w kluczowych podmiotach (takich jak Mistral AI czy ChapsVision).

4. Zaostrzenie przepisów wobec Big Tech i ochrona prawna

W zakresie ochrony danych proponuje się odejście od krytykowanej zasady „jednego kontaktu” (guichet unique) w RODO, co dotychczas pozwalało Big Techom rozstrzygać spory w przyjaznych dla nich jurysdykcjach (np. w Irlandii).

Raport rekomenduje przekazanie bezpośredniego nadzoru nad największymi platformami do Europejskiej Rady Ochrony Danych (EDPB), utworzenie procedury pozwów zbiorowych oraz stosowanie środków karnych i możliwości zawieszania niebezpiecznych platform łamiących prawo.

5. Powrót kompetencji IT

Raport bije na alarm w kwestii skrajnego uzależnienia od firm zewnętrznych i firm doradczych. W niektórych resortach (np. w Ministerstwie Sprawiedliwości) udział zewnętrznych dostawców usług IT sięga od 60% do nawet 90%. Raport zaleca masową reinternalizację kompetencji cyfrowych. Co to oznacza? Państwo musi ponownie zatrudniać własnych programistów i architektów, by nie być skazanym na dyktat zewnętrznych korporacji.

Lekcje również dla Polski

Francuski raport pokazuje, że dyskusja o suwerenności cyfrowej przestaje dotyczyć wyłącznie technologii. Obejmuje bezpieczeństwo państwa, politykę przemysłową, edukację, zamówienia publiczne, ochronę danych i rozwój europejskiego rynku technologicznego.

Wiele z opisanych problemów występuje również w Polsce. Nasza administracja także korzysta z globalnych platform chmurowych, zagranicznego oprogramowania oraz usług największych dostawców technologii. Również u nas trwa dyskusja o rozwoju krajowych kompetencji w zakresie sztucznej inteligencji, wykorzystaniu Open Source czy budowie bezpiecznej infrastruktury przetwarzania danych.

Dlatego warto uważnie przeanalizować francuskie doświadczenia. Nie wszystkie przedstawione propozycje muszą zostać wdrożone, część z nich zapewne będzie budzić kontrowersje, jednak sam raport jest jednym z najbardziej kompleksowych opracowań dotyczących cyfrowej suwerenności, jakie powstały w Europie.

Jeżeli Unia Europejska rzeczywiście chce budować niezależność technologiczną, potrzebuje nie tylko inwestycji w centra danych i modele AI, ale również zmian w zamówieniach publicznych, edukacji, polityce przemysłowej oraz rozwoju europejskiego ekosystemu technologicznego. Francja właśnie rozpoczęła tę debatę. Warto, aby Polska aktywnie włączyła się do niej już teraz.

Pełna lista rekomendacji (strony 413-417):

Sprawozdawczyni sformułowała 18 zaleceń, których celem jest szybkie usunięcie stwierdzonych nieprawidłowości lub wprowadzenie zmian w istniejących rozwiązaniach.

Zalecenie nr 1: Rozszerzenie zasad doktryny „Cloud” na wszystkie przedsiębiorstwa publiczne.

Zalecenie nr 2: Uzupełnienie wskaźnika odporności cyfrowej poprzez wprowadzenie siatek zakupowych i klauzul wzorcowych przeznaczonych dla nabywców prywatnych.

Zalecenie nr 3: Stanowczo wezwać wszystkie przedsiębiorstwa do natychmiastowego przeniesienia przechowywania swoich wrażliwych danych do usług hostingowych posiadających certyfikat SecNumCloud oraz do rezygnacji z korzystania z usług podmiotów amerykańskich.

Zalecenie nr 4: Lepiej promować i rozpowszechniać narzędzia uświadamiające opracowane przez CNIL, zwłaszcza w środowisku szkolnym.

Zalecenie nr 5: Znieść zasadę „jednego okienka” przewidzianą w RODO i powierzyć Europejskiemu Komitetowi Ochrony Danych nadzór nad transgranicznym przetwarzaniem danych osobowych realizowanym przez największe platformy.

Zalecenie nr 6: Zlecić komitetowi ekonomistów ocenę stanu naszej zależności oraz wpływu na nasze gospodarki w przypadku powszechnego zastosowania przez Stany Zjednoczone tzw. kill switch.

Zalecenie nr 7: Przyjąć rozporządzenie wykonawcze do ustawy Sren mające na celu uregulowanie korzystania z kredytów chmurowych.

Zalecenie nr 8: Zrewidować kryteria przyznawania ulgi podatkowej na badania naukowe, aby lepiej wspierać innowacyjne przedsiębiorstwa i zmniejszyć kwoty przyznawane przedsiębiorstwom świadczącym usługi cyfrowe.

Zalecenie nr 9: Wymaganie od central zakupowych informowania swoich klientów o narodowości wydawcy oferowanych przez nie rozwiązań programowych, w oparciu o solidną metodologię uwzględniającą podległość wydawcy obcym przepisom prawnym.

Zalecenie nr 10: Zapewnienie reprezentatywności konsultacji prowadzonych przez Komisję Europejską poprzez ograniczenie liczby bezpośrednich lub pośrednich kontaktów z przedstawicielami dużych przedsiębiorstw cyfrowych.

Zalecenie nr 11: Przeznaczenie części środków z programu „France 2030” oraz mechanizmu „French 120” dla przedsiębiorstw opracowujących rozwiązania open source i przestrzegających standardów interoperacyjności.

Zalecenie nr 12: Utworzyć komórkę monitorującą wpływ sztucznej inteligencji na zatrudnienie, skupiającą partnerów społecznych i naukowców.

Zalecenie nr 13: Opowiadać się na szczeblu europejskim za wprowadzeniem obowiązku przedstawiania przez centra danych certyfikatów zakupu energii elektrycznej ze źródeł odnawialnych w rozbiciu godzinowym.

Zalecenie nr 14: Wdrożyć politykę Ministerstwa Edukacji Narodowej na rzecz dóbr wspólnych cyfrowych.

Zalecenie nr 15: Umożliwić urzędnikom państwowym poświęcenie czasu odpowiadającego jednemu dniu w roku na pracę na rzecz wybranych przez nich zasobów cyfrowych w interesie publicznym.

Zalecenie nr 16: Rozwijać partnerstwa na rzecz innowacji oraz wspólne zamówienia publiczne między samorządami.

Zalecenie nr 17: Wspierać i promować platformę „Forge numérique” opracowaną przez Ministerstwo Edukacji Narodowej.

Zalecenie nr 18: Egzekwować przestrzeganie definicji oprogramowania open source zgodnie z interpretacją zawartą w OSAID 1.0, w tym na drodze sądowej.

Sprawozdawczyni formułuje 29 propozycji, których celem jest zainicjowanie zmiany modelu w celu wyjścia z zależności i strukturalnej podatności na zagrożenia związane z wykorzystaniem pozaeuropejskich narzędzi cyfrowych.

Propozycja nr 1: Zapewnienie politycznego i finansowego wsparcia dla inicjatywy Edic Digital Commons, której celem jest koordynacja działań krajów europejskich w zakresie rozwoju dóbr wspólnych w sferze cyfrowej.

Propozycja nr 2: Utworzenie fundacji France Libre Open Source (Flos), która zapewni trwałość komponentów open source niezbędnych dla narzędzi cyfrowych opracowywanych przez państwo i samorządy w celu wzmocnienia kontroli nad ich systemami informatycznymi.

Propozycja nr 3: Utworzenie funduszu na rzecz oprogramowania wolnego, open source oraz gwarancji niezależności dóbr wspólnych (Logic), który zapewni dodatkowe finansowanie europejskiego funduszu Sovereign Tech Fund na rzecz dóbr wspólnych cyfrowych.

Propozycja nr 4: Stworzenie statutu związku danych.

Propozycja nr 5: Cel „zero Microsoft” w szkołach.

Propozycja nr 6: Zmienić artykuł L. 312-9 kodeksu oświatowego, tak aby szkolenie w zakresie odpowiedzialnego korzystania z narzędzi i zasobów cyfrowych obejmowało nauczanie o wolnym oprogramowaniu.

Propozycja nr 30: Przewidzieć, że kod źródłowy oprogramowania opracowanego przez przedsiębiorstwo wejdzie do domeny publicznej w przypadku ostatecznego zaprzestania działalności.

Propozycja nr 8: Utworzyć muzeum cyfrowe.

Propozycja nr 9: Ponownie przejąć kompetencje, traktując Ministerstwo Sprawiedliwości jako priorytet.

Propozycja nr 10: Wprowadzić obowiązek stosowania oprogramowania open source w zamówieniach publicznych administracji i operatorów państwowych, przedsiębiorstw publicznych oraz spółek koncesjonowanych na świadczenie usług publicznych do 1 ^stycznia 2030 r.

Propozycja nr 11: Włączenie klauzuli escrow przy zawieraniu umów między podmiotem publicznym a dostawcą w celu zagwarantowania ciągłości usług.

Propozycja nr 12: Wprowadzenie obowiązku stosowania w zamówieniach publicznych praktycznego przewodnika dotyczącego odpowiedzialnego zakupu rozwiązań sztucznej inteligencji oraz ogólnego zestawu standardów interoperacyjności.

Propozycja nr 13: Ujmowanie wszystkich wydatków samorządów terytorialnych na oprogramowanie open source jako wydatków inwestycyjnych.

Propozycja nr 14: Wymagać od instytucji publicznych, aby komunikowały się za pośrednictwem interoperacyjnych i zdecentralizowanych sieci społecznościowych.

Propozycja nr 15: Wprowadzić zasadę preferencji europejskiej (Buy European Act).

Propozycja nr 16: Stworzyć rozwiązanie typu open source dla MŚP.

Propozycja nr 17: Włączenie elementu suwerenności do certyfikacji dostawców usług hostingowych danych medycznych.

Propozycja nr 18: Przewidzenie zwrotu dotacji na rozpoczęcie działalności oraz ulgi podatkowej na badania naukowe w przypadku sprzedaży przedsiębiorstwa podmiotowi spoza Europy.

Propozycja nr 19: Posiadanie specjalnych akcji, tzw. golden shares, w spółkach Mistral AI i ChapsVision.

Propozycja nr 20: Włączenie klauzuli ostatecznej suwerenności w celu zagwarantowania ciągłości funkcjonowania państwa.

Propozycja nr 21: Ogłoszenie moratorium na projekty centrów danych, które nie spełniają wymogów suwerenności.

Propozycja nr 22: Wprowadzenie publicznej kontroli nad wdrażaniem centrów danych spełniających wymogi suwerenności.

Propozycja nr 23: Zwalczać eksterytorialne stosowanie obcych przepisów prawnych oraz ataki wymierzone w prawo europejskie poprzez uruchomienie rozporządzenia blokującego oraz, w razie potrzeby, instrumentu przeciwdziałania przymusowi.

Propozycja nr 24: Utworzyć publiczną instytucję bankową o statusie immunitetu, całkowicie niezależną od rynku amerykańskiego, która będzie oferować podstawowe usługi bankowe i ubezpieczeniowe w strefie euro.

Propozycja nr 25: Stworzenie procedury pozwu zbiorowego na mocy RODO.

Propozycja nr 26: Wykorzystanie prawa karnego przeciwko platformom w przypadku naruszenia praw osób fizycznych.

Propozycja nr 27: Zawieszenie działalności niebezpiecznych platform.

Propozycja nr 28: Utworzenie pełnoprawnego ministerstwa ds. cyfryzacji, któremu podlegałby międzyresortowy organ ds. cyfryzacji wyposażony w wzmocnione uprawnienia.

Propozycja nr 29: Utworzenie parlamentarnej delegacji ds. cyfryzacji w ramach Zgromadzenia Narodowego.