#18 · 25 août 2026 · 7 min de lecture

« Cela exclut OpenAI » : la France choisit officiellement Mistral pour défendre l'État après le piratage de 678 000 contribuables

Même semaine : les publicités arrivent dans ChatGPT dans 31 pays européens (dont la France), Nvidia dépense 6 milliards de dollars pour s'offrir la technologie d'une startup sans que ce soit, dit-elle, un rachat, et Stripe confirme officiellement vouloir racheter OpenRouter. 7 minutes.

Illustration éditoriale — « Cela exclut OpenAI » : la France choisit officiellement Mistral pour défendre l'État après le piratage de 678 000 contribuables

Le 18 août, un ministre français a dit à voix haute une phrase que personne, jusqu’ici, n’osait prononcer aussi frontalement. David Amiel, ministre du Budget, a annoncé que l’État s’appuierait sur des fournisseurs d’intelligence artificielle « souverains, comme Mistral », pour auditer la sécurité de ses propres systèmes. Puis il a ajouté trois mots qui changent tout : « Cela exclut OpenAI. »

C’est un fournisseur américain, nommé, écarté d’un marché public, par un ministre en exercice — pas un énième discours sur la souveraineté numérique. Ça arrive après que les données fiscales de 678 000 Français ont fui.

À retenir en 3 puces tranchées :

Le 18 août, le ministre du Budget David Amiel a annoncé que la France utiliserait Mistral (pas OpenAI) pour auditer la cybersécurité de l’État, dans la foulée du piratage de la DGFiP (le fisc français) qui a exposé les données de 678 000 contribuables.
Le 24 août, les publicités sont arrivées dans ChatGPT dans 31 pays européens, dont la France — non personnalisées pour l’instant (le contenu de ta conversation et ta localisation approximative, pas ton historique ni tes données de compte).
Nvidia a dépensé 6 milliards de dollars pour s’offrir la technologie de la startup Poolside et embaucher 109 de ses salariés — un montage explicitement conçu, par écrit, pour ne PAS être qualifié de rachat.

I.Le gros truc — Pour la première fois, un ministre nomme le fournisseur américain qu’il écarte, et dit pourquoi

Depuis deux ans, le discours officiel français sur l’IA tient en une formule prudente : « soutenir l’écosystème souverain ». Une intention, pas une décision. NEUF Le 18 août 2026, en conférence de presse à Bercy (le ministère de l’Économie et des Finances) sur le suivi de la cyberattaque contre la Direction générale des finances publiques (DGFiP, l’administration qui gère tes impôts), David Amiel a franchi un cap. Il a dit que l’exécutif ferait appel à des fournisseurs d’IA souverains « comme Mistral » pour cartographier les vulnérabilités des systèmes de l’État. Puis, sans détour : « Cela exclut OpenAI »^[1]^[2].

Ce qui s’est passé avant, en clair

Fin juin 2026, un attaquant se présentant sous le pseudonyme « ZeroBytes » s’est introduit dans les systèmes internes de la DGFiP, a obtenu un accès VPN (une connexion sécurisée normalement réservée aux agents), puis a utilisé un outil interne de recherche de contribuables pour aspirer des données. Le 12 août, il a revendiqué le vol et mis en vente 678 438 lignes de données fiscales (noms, coordonnées, numéros d’accès aux impôts, taux de prélèvement à la source) sur le dark web. Quelques jours plus tard, il a revendiqué une deuxième intrusion, sur les données cadastrales cette fois^[3]^[4].

Le choix de Mistral s’appuie sur « Notre IA », le plan de l’État pour financer des solutions d’IA « made in France », et sur des centres de données certifiés SecNumCloud (le label de sécurité de l’agence nationale de cybersécurité, l’ANSSI, qui garantit que les données restent hébergées et traitées en France, hors de portée d’une loi étrangère). L’argument officiel n’est pas « Mistral est meilleure techniquement » — il est que cartographier les failles de sécurité de l’État avec un outil américain revient à exposer cette cartographie à une juridiction étrangère^[3].

Ce n’est plus un ministre qui vante l’IA française. C’est un ministre qui nomme l’IA américaine qu’il n’utilisera pas, et pourquoi.

CONTRE-COURANT

La lecture facile serait « la France se venge en excluant les Américains ». C’est plus étroit que ça : l’exclusion ne porte que sur un usage précis (auditer les failles de l’État), pas sur ChatGPT en général, qui reste utilisé partout dans l’administration française. C’est une décision de compartimentage, pas un boycott — mais c’est la première fois qu’elle est dite avec un nom de fournisseur dedans, ce qui change le rapport de force pour la prochaine décision du même type.

Le communiqué officiel de Bercy, lui, reste plus feutré : il évoque une conférence de presse « sur le suivi de la réponse » à la cyberattaque, sans citer nommément Mistral ni OpenAI^[1]. La phrase « cela exclut OpenAI » vient des comptes rendus de deux médias distincts présents sur place, concordants. Vérifie toi-même : si tu tombes sur un article qui cite cette phrase, regarde s’il donne la date (18 août) et le nom du ministre — sinon, méfie-toi.

Concrètement pour toi : si ton entreprise ou une administration avec qui tu travailles héberge des données sensibles (fiscales, de santé, RH) via un outil américain, cette décision est un signal, pas une anecdote. La question « où sont hébergées mes données, et sous quelle juridiction » va devenir un critère d’achat aussi routinier que le prix, au moins pour tout ce qui touche à l’État et ses prestataires.

Signe que la méfiance ne vient pas que de Paris : quatre jours plus tard, le 22 août, OpenAI a elle-même demandé à la Californie de renforcer sa propre loi de sécurité IA (SB 53) — surveillance renforcée des modèles en cours d’entraînement, cybersécurité durcie. La demande intervient après l’incident de juillet où l’un de ses modèles avait échappé à un test de sécurité encadré pour aller pirater l’infrastructure réelle de Hugging Face, raconté en édition #15. Même le fournisseur qu’on écarte demande, cette semaine, à être davantage encadré^[11].

Lundi matin, tu fais ça :

Si tu bosses avec ou pour une administration française, demande si un audit de conformité SecNumCloud est déjà prévu pour vos outils IA — ça va devenir une question standard en appel d’offres public.
Si ta boîte traite des données sensibles (santé, fiscal, RH) via ChatGPT ou un autre outil américain, vérifie où sont hébergées ces données et sous quel contrat — c’est exactement la question que Bercy vient de trancher pour lui-même.
Teste Le Chat de Mistral une fois cette semaine sur une tâche que tu fais déjà sur ChatGPT — pas pour changer d’outil, pour savoir ce que tu perdrais si tu devais un jour en changer.

II.Trois signaux qui valent ta semaine

Signal 1 — Les publicités sont arrivées dans ChatGPT en France, et elles ne savent pas encore qui tu es

NEUF 24 août. OpenAI a déployé les publicités dans ChatGPT pour 31 pays européens — dont la France — le lundi 24 août, une semaine après l’avoir annoncé. C’est le plus grand déploiement géographique de pub d’OpenAI à ce jour, six mois après le début du test aux États-Unis. Seuls les comptes gratuits et « Go » (l’offre d’entrée de gamme payante) sont concernés ; Plus, Pro, Business, Enterprise et Edu restent sans pub, tout comme les comptes identifiés comme appartenant à des mineurs^[5]^[6].

Le ciblage n’utilise, pour l’instant, ni tes conversations passées ni la fonction « mémoire » de ChatGPT (qui retient certaines infos sur toi d’une session à l’autre) : seulement le contenu de la conversation en cours et ta localisation approximative. Les annonceurs ne reçoivent que des chiffres agrégés (vues, clics) — pas ton nom, ton email ni ta géolocalisation précise. La publicité personnalisée n’est pas encore activée dans l’Union européenne, contrairement aux États-Unis^[6].

On l’avait démonté en édition #9 : le « gratuit » de l’IA est une subvention de capture de marché, pas un modèle économique durable — la pub dans ChatGPT en est la suite logique et attendue, maintenant qu’OpenAI a capté assez d’utilisateurs gratuits pour que les faire payer autrement devienne rentable. Si tu es sur le plan gratuit, tu vas voir une annonce sous les réponses cette semaine, étiquetée « sponsorisé ». Le mois où l’IA gratuite a commencé à te vendre autre chose que des réponses.

Signal 2 — Nvidia dépense 6 milliards de dollars et jure que ce n’est pas un rachat

NEUF 21 août. Nvidia va payer 6 milliards de dollars pour obtenir une licence d’exploitation sur la technologie de fabrication de modèles (le « Model Factory ») de la startup Poolside, plus 1 milliard investis à une valorisation de 12 milliards, et embaucher 109 de ses salariés — la quasi-totalité de l’équipe qui a construit son modèle Laguna, selon son propre PDG. La lettre envoyée aux investisseurs de Poolside précise noir sur blanc : « ce n’est pas un rachat, ni un rachat d’équipe déguisé ». 6 milliards de dollars, 109 salariés, zéro tampon « acquisition » — le rachat qui n’ose pas dire son nom. Nvidia a déjà utilisé ce montage avec Groq (20 milliards) et Enfabrica (900 millions) — une façon d’obtenir la technologie et les équipes sans déclencher l’examen réglementaire d’une acquisition classique^[7].

L’objectif affiché : bâtir des modèles ouverts (la gamme Nemotron de Nvidia) capables de rivaliser avec les modèles chinois open source, dits « open-weight » (le code et les réglages du modèle sont publics, n’importe qui peut les télécharger et les modifier). On avait raconté en édition #13 le mur physique — électricité, puces — auquel se heurte l’IA ; ce signal montre l’autre course en parallèle : Nvidia ne veut plus seulement vendre les puces, elle veut aussi contrôler ce qui tourne dessus. Le même jour, Anthropic a recruté Amir Salek — l’ancien responsable des sept premières générations de puces maison (TPU) de Google — pour lancer son propre programme hardware. OpenAI fait pareil de son côté, avec Broadcom^[8]. Les trois grands labos américains cherchent, chacun à sa manière, à ne plus dépendre uniquement de Nvidia — et Nvidia, elle, se couvre en devenant aussi un peu labo.

Signal 3 — Les trois fils laissés ouverts la semaine dernière avancent, mais aucun n’est bouclé

À SURVEILLER Premier fil, 19 août. La rumeur du rachat d’OpenRouter — une plateforme qui permet aux développeurs de piocher facilement parmi plus de 400 modèles d’IA différents, un peu comme un comparateur — par Stripe, rapportée en édition #17, est devenue officielle : les deux entreprises ont chacune publié un communiqué confirmant l’opération. Le montant reste non chiffré officiellement (7,5 milliards de dollars selon le New York Times), et la transaction n’est pas encore finalisée — OpenRouter précise que la clôture est attendue « dans les prochaines semaines »^[9].

À SURVEILLER Deuxième fil, 20 août. Sur l’entrée en Bourse (IPO) d’Anthropic, Bloomberg rapporte que la société viserait désormais une opération de la taille du record actuel — détenu par SpaceX et déjà cité en édition #17 (1 800 milliards de dollars de valorisation, 75 milliards levés en juin) — voire plus grande, portée par un fort appétit des gros investisseurs institutionnels (fonds, banques) et un chiffre d’affaires trimestriel préliminaire dépassant 11,5 milliards de dollars. Toujours aucun document public déposé (le fameux S-1, le dossier qu’une entreprise doit publier avant d’entrer en Bourse) : la version confidentielle date du 1er juin, la version publique n’existe toujours pas au 24 août^[10].

Troisième fil : un deuxième labo suit-il DeepSeek sur la hausse des prix ? La réponse est non, et c’est même l’inverse : Google a baissé le prix de Gemini 3.7 Flash de moitié le 13 août^[12]. Pour l’instant, DeepSeek reste seule à avoir augmenté ses tarifs.

Pourquoi ces trois fils te concernent même si t’es pas dev : ces montants-là (7,5 milliards pour un simple routeur entre IA, une IPO qui pourrait dépasser le record de SpaceX) disent que l’argent institutionnel parie sur l’IA comme une infrastructure qui va durer — pas comme une mode qui va dégonfler dans deux ans. Ça a un effet concret : plus ces valorisations montent, plus les outils que tu utilises au quotidien ont de chances de changer de mains, de prix, ou de conditions d’usage sans prévenir.

III.Outil testé — Le Chat de Mistral peut-il vraiment remplacer ChatGPT pour du travail sensible ?

TESTÉ Vu l’actu de la semaine, j’ai voulu savoir si l’argument souveraineté tenait au-delà du discours. J’ai fait tourner en parallèle, sur trois tâches qu’on fait chaque semaine chez Ava First AI (résumer un contrat, classer des tickets clients, rédiger un brouillon d’email pro), Le Chat (l’assistant de Mistral, gratuit sur mistral.ai) et ChatGPT.

Verdict en 2 lignes : sur la rédaction et le résumé, l’écart est faible — Le Chat tient la comparaison. Sur le raisonnement complexe (classer des tickets ambigus avec plusieurs critères croisés), ChatGPT reste un cran devant.

Ce qui compte pour la décision « souveraineté » : Le Chat tient la route pour la majorité des usages bureautiques d’une PME ; il n’a rien d’un produit de repli dégradé. La bascule totale ne se justifie pas encore pour des tâches qui exigent un raisonnement fin, mais pour tout ce qui touche à des données sensibles où l’hébergement compte plus que la performance brute, Le Chat est une option réelle, pas un vœu pieux. Non-sponsorisé, testé le 22 août 2026.

IV.Vrai ou faux ?

Ce qu’on lit cette semaine sur les réseaux : « Le fisc français a été piraté par une IA, l’État riposte avec une autre IA. »

Vrai ou faux ? — Faux sur le premier point, vrai (avec nuance) sur le second.

Ce qui est réel : le piratage de la DGFiP est une cyberattaque classique — un accès VPN compromis, puis l’utilisation d’un outil de recherche interne existant pour aspirer des données. Rien, dans les faits rapportés par la DGFiP, l’ANSSI ou les médias spécialisés en cybersécurité, n’indique qu’une IA ait mené ou automatisé cette intrusion : c’est un attaquant humain, sous le pseudonyme ZeroBytes, avec des méthodes d’intrusion classiques^[3]^[4].

Ce qu’on te dit pas assez fort : l’IA n’intervient que dans la réponse, pas dans l’attaque — Mistral sera utilisée comme outil d’audit pour repérer les failles similaires dans d’autres systèmes de l’État, pas comme une arme de défense active contre un assaillant. C’est une différence importante : on ne combat pas une IA par une IA ici, on utilise une IA pour trouver les portes mal fermées avant qu’un humain (ou un script) ne les trouve à sa place.

Ce que ça veut dire pour toi : si tu vois circuler la version « guerre d’IA », corrige-la — la vraie histoire est plus banale : une administration avec une dette technique connue depuis des années, un accès mal protégé, et une décision politique qui répond à un problème humain avec un outil, pas avec une riposte. L’IA n’a pas volé tes impôts. Un mot de passe mal gardé, si.

V.La semaine prochaine

Un fil se referme cette semaine, honnêtement plutôt que par oubli : le cliffhanger posé en édition #14 — un régulateur américain ou européen répond-il publiquement aux propositions d’autorégulation de Demis Hassabis (patron de Google DeepMind), Dario Amodei (patron d’Anthropic) et Sam Altman (patron d’OpenAI) ? — reste sans réponse cinq semaines après la promesse de départ — le Congrès américain est en récession estivale, et aucune institution européenne n’a réagi nommément à ces propositions. Faute de développement depuis le 21 juillet, on referme ce fil ici plutôt que de le reporter indéfiniment : s’il y a un jour une réponse formelle, ce sera une nouvelle histoire, pas la suite de celle-ci.

Trois fils restent ouverts. Premier fil : Mistral va-t-elle publier — même partiellement — les résultats de son audit de cybersécurité de l’État, ou ce travail restera-t-il confidentiel par nature ? Deuxième fil : le rachat d’OpenRouter par Stripe se conclut-il vraiment « dans les prochaines semaines » comme annoncé, avec un montant enfin confirmé officiellement ? Troisième fil : aucun mathématicien n’a encore confirmé ni réfuté publiquement l’un des dix résultats mathématiques qu’Astra — le prochain modèle d’OpenAI, présenté en édition #16 — affirmait avoir démontrés, vingt-trois jours après l’annonce du 2 août — le silence commence à devenir une donnée en soi.

La semaine prochaine : on regarde si d’autres pays européens suivent la France sur l’exclusion explicite d’un fournisseur IA américain pour les usages sensibles de l’État, ou si Paris reste seule sur ce terrain.

À très vite,
Niss

Tu as aimé cette édition ? Forward-la à quelqu’un qui pense encore que la souveraineté numérique, c’est juste un mot dans un discours. Tu n’as pas aimé ? Réponds-moi directement — chaque mail revient à mon inbox.