Vous êtes régulateur néerlandais de la concurrence. Vous correspondez, par courriel, avec les plateformes américaines que vous supervisez. Vous tenez pour acquis que cette correspondance est protégée — par le RGPD, par le droit administratif néerlandais, par le fait que ces plateformes maintiennent en Europe des filiales justiciables devant les juridictions européennes. Vendredi dernier, en début d’après-midi, vous avez appris laquelle de ces hypothèses portait réellement la charpente.

La réponse : aucune.

Le vendredi 22 mai 2026, le magazine néerlandais Vrij Nederland a révélé que Microsoft avait remis vos courriels à une assignation du Congrès américain. Le destinataire : la House Judiciary Select Subcommittee on the Weaponization of the Federal Government, présidée par Jim Jordan. Les assignations avaient été lancées en juillet précédent — à dix entreprises technologiques, exigeant les communications internes avec des gouvernements étrangers au sujet de la modération des contenus. La réponse de Microsoft, telle que Vrij Nederland l’a vérifiée, contenait les noms non caviardés de fonctionnaires de l’Autoriteit Consument en Markt (ACM) et de l’Autoriteit Persoonsgegevens (AP) — les régulateurs qui appliquent aux Pays-Bas le Digital Services Act européen.

Puis Microsoft a livré une explication qui devrait inquiéter davantage encore que la divulgation elle-même. Le CLOUD Act n’a pas été invoqué. La coopération était volontaire.

Ce mot — volontaire — est la part de l’affaire qu’aucun commentaire public ou presque n’a correctement située. Si le CLOUD Act avait imposé la divulgation, les régulateurs concernés disposeraient au moins d’un seuil juridique à contester devant un tribunal. La conformité volontaire signifie qu’il n’y avait aucun seuil. Il n’y avait que le calcul commercial de Microsoft : coopérer avec une sous-commission du Congrès était préférable à un refus. Le calcul était rationnel. Il était aussi, au sens strict, parfaitement affranchi du droit européen.

Les noms sont désormais à Washington. La commission qui les a réclamés qualifie le travail de ces fonctionnaires de « censorship of American speech » (censure de la parole américaine). La secrétaire d’État néerlandaise à la souveraineté numérique, Willemijn Aerdts, a convoqué l’ambassadeur des États-Unis le vendredi même. Les données, elles, étaient déjà en chemin.

Cet article est l’audit de l’architecture qui a produit ce résultat, le recadrage qui rend cet audit utile, et la question d’achat public à laquelle chaque régulateur et chaque ministère européens devront répondre avant la prochaine assignation.

Ce que Microsoft a livré

Il ne s’agissait pas de résumés. C’était la matière brute du travail de régulation : courriels entre des agents nommément désignés de l’ACM et de l’AP et les représentants de Microsoft, entrées d’agenda de réunions internes, comptes rendus de discussions sur la mise en œuvre du DSA. La sous-commission a reçu les noms en clair. Selon les informations d’iBestuur, Meta a transmis des données comparables ; les huit autres entreprises assignées n’ont pas confirmé publiquement avoir coopéré.

L’objet déclaré de la sous-commission est de déterminer si la réglementation européenne des plateformes en ligne constitue une censure des entreprises américaines. Les fonctionnaires nommés dans les documents sont précisément les personnes chargées, dans la juridiction néerlandaise, d’appliquer les règles sur lesquelles la sous-commission enquête. La Weaponization Subcommittee dispose donc, dans ses dossiers, des noms des agents européens qui font appliquer des règles qu’elle juge hostiles.

Cybernews rapporte que certains employés concernés ont de la famille aux États-Unis et redoutent désormais de se voir refuser l’entrée du territoire. Cette crainte n’a rien de théorique : l’administration Trump a sanctionné des responsables de la société civile européenne, dont la direction de l’ONG allemande HateAid en décembre 2025, pour ce qu’elle assimilait à une régulation hostile de la parole. Le chemin qui mène d’un nom inscrit sur une liste de sous-commission à une interdiction d’entrée à la frontière américaine est plus court que les régulateurs européens ne l’ont historiquement supposé.

Le vendredi après-midi, la Staatssecretaris Willemijn Aerdts avait dit à l’ambassadeur américain, Joe Popolo, droit dans les yeux : « Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen. » (« Si vous avez un problème, vous le réglez avec nous, ou s’il le faut en Europe, mais pas sur le dos de nos fonctionnaires. ») Aerdts avait été nommée trois mois plus tôt première Staatssecretaris des Pays-Bas chargée de l’Économie numérique et de la Souveraineté, au sein du cabinet Jetten investi le 23 février. L’ambassadeur qu’elle a convoqué était arrivé à La Haye plus récemment encore. L’intervention était substantielle. Elle était aussi, au strict regard de l’achat public, creuse : elle convoquait un diplomate, pas un fournisseur.

La défense est l’aveu

Microsoft n’a publié aucune déclaration publique détaillée sur l’affaire néerlandaise. Les comptes rendus convergent — NL Times, Dutch IT Channel, Cybernews — sur la ligne que l’entreprise tient en privé et auprès de la presse spécialisée : la divulgation n’a pas été déclenchée par une obligation au titre du CLOUD Act. Les documents transmis, selon ce cadrage, relevaient d’une correspondance entre Microsoft et des représentants d’autorités européennes — et cette correspondance échappait aux protections que les régulateurs européens pouvaient croire acquises.

Ce cadrage a été présenté comme une exonération. À la lecture attentive, c’est l’inverse. Si le CLOUD Act avait imposé la divulgation, les régulateurs européens disposeraient au moins d’un seuil juridique à attaquer en justice. Le cadrage volontaire signifie qu’il n’existait aucun seuil — seulement le calcul commercial de Microsoft, selon lequel coopérer avec la sous-commission de Jim Jordan valait mieux qu’un refus. La défense aggrave la situation davantage que ne le faisait l’accusation.

Le cadrage sert Microsoft d’une seconde manière : il permet à l’entreprise de présenter l’incident comme une affaire ponctuelle de discernement plutôt que comme une exposition structurelle au droit américain. Il sert aussi le cabinet néerlandais, qui peut renvoyer le problème vers un fournisseur américain plutôt que d’expliquer pourquoi les communications de l’ACM et de l’AP transitaient, pour commencer, par une plateforme hébergée aux États-Unis. L’intervention d’Aerdts auprès de l’ambassadeur Popolo, pour substantielle qu’elle fût, n’a engagé le cabinet sur aucun changement d’achat public. Le ministre délégué à l’Économie, Eric van der Burg (VVD), a qualifié la divulgation de « plus qu’inquiétante » — formule appuyée pour un secrétaire d’État néerlandais, plus faible cependant qu’un engagement.

Ce que le cadrage de Microsoft offrait, c’était une absolution. Ce qui a été dit, une fois la phrase décortiquée, c’est : nous n’étions tenus par aucune obligation de transmettre ces documents. Nous avons choisi de le faire. Ce n’est pas une défense, en aucun sens que reconnaîtraient les fonctionnaires concernés. C’est un aveu déguisé en clarification.

L’architecture que l’affaire met à nu

Le parc Microsoft 365 des régulateurs européens est vaste, profond et, dans le domaine public, à peu près non documenté.

Une estimation grossière, fondée sur les publications d’appels d’offres et la presse spécialisée, place au-dessus de 70 % la part des régulateurs nationaux européens dont les communications internes principales tournent sur Microsoft 365. La Bundesnetzagentur en Allemagne, l’ARCEP en France, l’AGCOM en Italie, la CNIL en France, le Bundeskartellamt allemand, la CNMC espagnole : la plupart fonctionnent sur M365 ou en ont une emprise substantielle dans leurs opérations quotidiennes. La plupart appliquent aussi, à un titre ou à un autre, du droit qui pèse sur les plateformes américaines : RGPD, DMA, DSA, Data Act, règles de concurrence. L’intersection — régulateurs des plateformes américaines qui utilisent des plateformes américaines pour leurs propres communications de régulateurs — correspond, pour l’essentiel, au paysage réglementaire européen tel qu’il existe aujourd’hui.

La conséquence architecturale est que chaque régulateur de cette intersection s’expose, par la chaîne d’approvisionnement, exactement comme l’ACM et l’AP viennent d’en apprendre la définition opérationnelle. Les données vivent sur une infrastructure exploitée par une entité qui, lorsqu’une assignation du Congrès américain lui sera signifiée, répondra commercialement. Cette réponse commerciale pointera, de manière fiable, dans le sens de la coopération. Le cadrage de Microsoft dans l’affaire néerlandaise a rendu cette logique explicite : l’entreprise répondait à une assignation, non à une injonction au titre du CLOUD Act ; la coopération était volontaire. Tous les autres régulateurs du même parc occupent la même position architecturale. La prochaine assignation appellera la même logique.

Il existe une exposition de second ordre, peu discutée jusqu’ici. Les fonctionnaires nommés dans les documents néerlandais n’étaient pas les seuls dans ces fils de courriels. Les échanges avec Microsoft sur la mise en œuvre du DSA impliquent régulièrement, en copie, des agents d’autres régulateurs européens — la coordination entre autorités nationales fait partie du dispositif d’application du DSA. L’assignation que la sous-commission a adressée à Microsoft couvrait, selon son propre libellé, les communications internes avec des gouvernements étrangers au sujet de la modération des contenus. Cette formulation est assez large pour englober les chaînes de correspondance, et non les seuls expéditeurs individuels. La liste effective des noms, à lire la portée de l’assignation avec attention, s’étend vraisemblablement au-delà de l’ACM et de l’AP, vers des régulateurs européens voisins qui n’ont pas encore été publiquement touchés.

Le schéma sous l’affaire

Ce n’est pas la première fois qu’un fournisseur américain expose des fonctionnaires européens aux autorités des États-Unis sous pression politique. C’est le troisième cas documenté en treize mois.

En mai 2025, Microsoft a suspendu le compte courriel de Karim Khan, procureur en chef de la Cour pénale internationale, après que l’administration Trump l’eut sanctionné nommément au titre du décret 14203. En décembre 2025, la même administration a sanctionné la direction de HateAid, ONG allemande qui soutient les victimes de la haine en ligne, par des interdictions d’entrée aux États-Unis. En mai 2026, Microsoft a livré les noms des régulateurs néerlandais.

L’affaire Khan relevait d’une désignation au titre des sanctions : contrainte légale. L’affaire HateAid relevait des règles d’interdiction d’entrée : action administrative visant des personnes nommées. L’affaire néerlandaise relève d’une assignation d’une sous-commission de la Chambre : enquête législative. Les instruments juridiques diffèrent. Le schéma, lui, ne diffère pas. À chaque fois, un fournisseur de services domicilié aux États-Unis a été sollicité, formellement ou non, pour agir contre un Européen devenu politiquement encombrant à Washington. À chaque fois, le fournisseur s’est exécuté.

L’affaire néerlandaise diffère des deux premières sur un point qui compte. L’affaire Khan reposait sur une désignation au titre des sanctions ; HateAid sur une action administrative. Toutes deux fournissaient à Microsoft une contrainte légale à brandir pour s’expliquer devant les régulateurs européens. L’affaire néerlandaise n’a pas cette couverture. Le cadrage de Microsoft concède lui-même l’absence : la divulgation n’était pas juridiquement requise, elle était commercialement préférable. Le troisième cas du schéma est celui où la logique commerciale s’est laissé nommer à voix haute.

Ce fait — l’avoir nommée — entraîne une conséquence stratégique que la presse spécialisée a manquée. Les deux premières affaires ont produit une nervosité générale quant à l’exposition juridique américaine sous M365. La troisième a produit une preuve spécifique d’exposition commerciale américaine sous M365 : même fournisseur, même architecture, capables de produire le même résultat sans aucun seuil juridique. Il n’existe, nulle part en Europe, de tribunal qui puisse trancher contre le calcul commercial de Microsoft. Il n’existe que le contrat d’achat public — c’est le niveau auquel les institutions européennes peuvent changer l’architecture.

Pourquoi la protestation ne change pas l’architecture

Le cabinet a convoqué l’ambassadeur américain. Un échange diplomatique a eu lieu. Microsoft publiera peut-être encore une clarification publique. Rien de tout cela ne modifie les conditions structurelles.

Une fois la poussière retombée, trois choses subsistent à l’identique. Microsoft peut toujours recevoir des demandes des organes législatif, exécutif et judiciaire américains. Microsoft peut toujours décider, volontairement, de coopérer au-delà du strict minimum exigé. L’ACM, l’AP et la plupart des autres régulateurs européens font toujours tourner leurs bureaux sur des systèmes Microsoft, et leurs communications demeurent exposées exactement de la même manière. L’incident a produit de la chaleur politique. Il n’a pas produit de bascule architecturale.

La réponse du cabinet néerlandais correspond, structurellement, à ce que le cadrage de Microsoft laissait attendre. L’intervention a traité la divulgation comme un incident de relations fournisseur, non comme un incident d’achat public. Le fournisseur a été convoqué par le canal diplomatique ; le contrat d’achat public, lui, n’a été convoqué d’aucune façon. Aerdts plaide publiquement pour la souveraineté numérique. Le problème structurel est que son portefeuille ne contrôle pas les décisions d’achat public du cabinet — et ce sont précisément les décisions d’achat public que l’incident a éclairées comme levier.

La formule « plus qu’inquiétante » du ministre délégué indique la façon dont cette histoire finira. Une formule forte signale la préoccupation. Elle ne signale pas un engagement. Un engagement aurait l’allure d’une date, d’un budget, d’un objectif, d’une alternative nommée. Il n’y a pas de date.

La souveraineté n’est pas un incident diplomatique

C’est le recadrage que l’incident rend visible à quiconque travaille, dans un régulateur européen, un ministère ou un organisme public, avec une responsabilité opérationnelle.

L’affaire néerlandaise n’est pas l’échec d’une relation diplomatique. La relation diplomatique fait exactement ce que font les relations diplomatiques — elle exprime des préoccupations, enregistre des protestations, convoque des ambassadeurs, rédige des notes verbales. L’affaire néerlandaise est l’échec d’une décision d’achat public prise des années plus tôt, lorsque l’ACM et l’AP ont adopté Microsoft 365 sur les mêmes bases institutionnelles raisonnables que tous les autres régulateurs européens. La réponse diplomatique du cabinet opère à la mauvaise couche. L’architecture, elle, vit à la couche de l’achat public. La réponse architecturale vit, elle aussi, à la couche de l’achat public.

C’est à cette couche que l’affaire néerlandaise s’applique à chaque lecteur qui travaille dans, ou avec, un organisme public européen. La question n’est pas que va faire le cabinet ? Le cabinet fera ce que font les cabinets : convoquer, protester, enregistrer la préoccupation. La question est de savoir si votre organisation, à la prochaine revue trimestrielle des achats, traitera la divulgation comme un fait pertinent au regard de votre propre contrat M365.

La question de la souveraineté, correctement posée, n’est pas quel fournisseur utilisons-nous pour notre messagerie ? C’est : si Microsoft était sollicité, aujourd’hui, par une sous-commission du Congrès américain, pour nos communications internes, quel serait son calcul commercial ? La réponse honnête, sur le précédent néerlandais, est : le même que pour les Pays-Bas. La réponse architecturale à cette question n’est pas un fournisseur différent. C’est une architecture différente : des communications réglementaires acheminées par une infrastructure dont la chaîne de responsabilité n’intègre aucun calcul commercial américain.

Ce que cet article n’est pas

Lire cette analyse comme l’affirmation que Microsoft aurait agi illégalement, c’est en manquer le sens — selon le cadrage de Microsoft lui-même, la divulgation n’a été ni juridiquement contrainte ni malveillante, mais un calcul commercial face à un acteur politique américain puissant. L’analyse opère à une couche plus profonde : sur la condition structurelle que ce calcul commercial peut revenir sur la table à tout moment, tant que l’architecture sous-jacente de la commande publique reste inchangée. Les prédictions sur le comportement de fournisseurs individuels dans des cas futurs ne relèvent pas de l’objet de l’enquête. Pour les lecteurs en environnements régulés, cette analyse ne remplace ni un conseil juridique ni un conseil en sécurité de l’information.

Le prochain nom sur la liste

Les fonctionnaires dont les noms figurent dans le dossier d’une sous-commission de la Chambre Judiciaire sont toujours à leur poste. Le Digital Services Act doit toujours être appliqué. La Weaponization Subcommittee n’a pas clos son enquête. Microsoft n’a pas retiré les documents — il n’existe pas de procédure de retrait une fois qu’une sous-commission les détient.

La prochaine demande d’une autorité américaine adressée à un fournisseur américain au sujet d’un régulateur européen recevra la même réponse, dictée par la même logique commerciale qui a régi celle-ci. Tant que l’architecture ne changera pas, les noms des fonctionnaires néerlandais ne seront pas les derniers à atterrir dans un dossier d’une sous-commission de la Chambre. Ils sont les troisièmes.

Le signal à surveiller, à douze mois d’ici, c’est l’achat public. Si l’ACM ou l’AP annoncent la migration de leurs communications internes hors de Microsoft, l’incident aura eu des conséquences structurelles. Sinon, l’intervention d’Aerdts auprès de Popolo aura constitué la réponse, dans son intégralité — et le prochain nom sur la liste est déjà en route.

Sources

Aperçu thématique : Souveraineté numérique en Europe Articles connexes : Souveraineté sur les serveurs de Microsoft, Souveraineté numérique : pourquoi maintenant