Le livre de règles de la fintech européenne avance sur plusieurs fronts, mais les règles de paiement restent à l'état de projets

Mardi, l'actualité de la politique numérique européenne a été dominée par des sujets qui, à proprement parler, ne relèvent pas des paiements. Bull, en France, et Schwarz Digits, la branche informatique du groupe Schwarz, propriétaire de Lidl et Kaufland, ont annoncé avoir conclu un protocole d'accord. L'objectif : une pile européenne d'infrastructure d'IA et de cloud, des serveurs jusqu'aux logiciels. L'accord a été annoncé au sommet numérique du gouvernement allemand de 2026 à Berlin, selon The Next Web.

Les deux entreprises placent la souveraineté au cœur de leur argumentaire. Schwarz Digits apportera son cloud STACKIT. Bull apportera ses travaux en IA et en calcul haute performance. Les serveurs seraient construits à l'usine de Bull à Angers, en France, avec un refroidissement liquide direct.

Rien de tout cela n'est une règle de paiement. Mais c'est le même courant politique qui façonne la politique fintech européenne depuis deux ans. Construire l'infrastructure chez soi, puis écrire les règles autour.

Ce qui bouge vraiment et ce qui reste un projet

Pour les paiements précisément, le document le plus récent en circulation n'est pas une loi. FinTech Futures a rapporté lundi que des sites clones sont apparus dans le projet de règles de paiement de l'UE. Presque personne ne l'a remarqué. C'est un projet, pas un texte définitif. L'effet pratique sur les entreprises dépendra de ce qui survivra aux négociations.

La même prudence vaut pour l'euro numérique. FinTech Futures a rapporté lundi que la Banque centrale européenne avait dévoilé les fournisseurs de services réseau pour l'euro numérique proposé. C'est une étape de passation de marché, pas un lancement. À Sibos 2026, FF News a diffusé une session avec Mayte Arráez González, de la BCE, sur l'euro numérique. Le projet a un calendrier, pas encore de produit ni d'utilisateurs.

L'écart entre les deux types d'histoires compte. Les annonces sur les clouds d'IA et les tuyauteries de banque centrale font les gros titres. Les règles qui décident si une entreprise de paiement peut opérer au-delà des frontières passent par la consultation et le trilogue. Elles avancent lentement, et le plus souvent à l'abri des regards.

L'histoire de sécurité qui, elle, a bien atterri

L'incident technologique européen le plus concret de la semaine n'était pas un document politique. Lundi, des supermarchés en Belgique, en Estonie, en Irlande, en Finlande, au Luxembourg, aux Pays-Bas et en Suède ont signalé des problèmes avec leurs systèmes de réfrigération, certains atteignant jusqu'à 50C, selon The Guardian. Plusieurs entreprises ont confirmé avoir été piratées.

CNBC a rapporté qu'Ahold Delhaize avait des dizaines de magasins Delhaize touchés en Belgique et au Luxembourg, avec des aliments jetés. Colruyt Group a indiqué que cinq magasins Spar avaient été ciblés. Carrefour a déclaré à la BBC que 15 de ses magasins belges avaient été attaqués. Intermarché a précisé que 15 de ses 153 magasins belges avaient été touchés. IKEA a déclaré qu'un incident avait affecté les réfrigérateurs et congélateurs de son magasin de Mons, en Belgique, entre dimanche et lundi.

La Commission européenne est en contact direct avec les autorités nationales. Elle a convoqué mardi matin une réunion de la task force interinstitutionnelle de l'UE avec l'ENISA, Europol et les services concernés de la Commission, a déclaré un porte-parole à CNBC.

Au Royaume-Uni, le National Cyber Security Centre a indiqué travailler avec les entreprises touchées. Paul Chichester, directeur des opérations du centre, s'exprimait mardi au lancement de la revue annuelle du NCSC. « Nous avons connaissance de ces incidents au Royaume-Uni et, de toute évidence, nous travaillons avec les organisations touchées. Nous continuerons à surveiller la situation. » La British Association of Independent Meat Suppliers a déclaré à la BBC que certains de ses plus de 300 membres avaient été touchés.

« Il y a tellement de vulnérabilités là-dehors que… on pourrait dire qu'elles attendent d'être exploitées », a déclaré Richard Horne, directeur général du NCSC, décrivant les attaques contre les réfrigérateurs comme les « contreforts » d'une menace plus vaste.

The Hacker News a également couvert mardi la deuxième vague d'attaques contre la réfrigération. Des chercheurs de Lupovis ont déclaré au Guardian avoir enregistré 256 tentatives d'attaque provenant de 91 sources différentes entre le 20 octobre et le 30 octobre. Les attaques ont visé des pièges honeypot imitant des contrôleurs de réfrigérateurs Danfoss, utilisant principalement des identifiants par défaut d'usine.

Où va l'argent

Le capital, au moins, continue de bouger. Le récapitulatif hebdomadaire de Tech.eu, publié lundi, recensait plus de 60 opérations de financement de la tech européenne pour un total supérieur à 1 300 000 000 € la semaine précédente. L'IA a capté 815 600 000 €, la healthtech 121 100 000 € et la fintech 104 100 000 €. Le Royaume-Uni arrive en tête avec 1 000 000 000 €, suivi de la Suisse avec 74 400 000 € et de l'Espagne avec 59 500 000 €.

Du côté des fonds, TechCrunch a rapporté mardi qu'Yvonne Bajela avait clôturé un Fund I sursouscrit de 17 000 000 $ pour sa société Evertrue. Elle était auparavant chez LocalGlobe et Impact X Capital Partners. Le fonds cible les investissements en amorçage au Royaume-Uni et en Europe, avec un ticket moyen d'environ 350 000 £. Il prévoit de soutenir au moins 20 entreprises sur trois ans. Elle a indiqué que le fonds comptait cinq investisseurs institutionnels, dont la British Business Bank. Elle a précisé que les données de PitchBook jusqu'à la fin septembre montraient que les gestionnaires de fonds britanniques émergents avaient levé 7 400 000 000 $, déjà au-dessus des 6 200 000 000 $ levés sur l'ensemble de 2025.

Des tickets plus petits sont aussi signés. Tech.eu a rapporté mardi que la startup portugaise Granter avait levé 1 600 000 €. 3XP Global a mené le tour via son Impact Innovation Fund, sous l'égide de la banque publique de développement portugaise Banco Português de Fomento. Celtis Venture Partners, Gateway Ventures et Deel ont participé, portant le financement total à 2 000 000 €. Le produit de Granter est un logiciel d'IA pour trouver et demander des financements publics. Cela en dit long sur la part de la tech européenne qui tourne désormais sur la navigation dans les subventions.

L'argument de souveraineté, dans ses propres mots

Le cadre politique de tout cela a été posé clairement à Berlin. Arthur Mensch, PDG de Mistral, a déclaré à POLITICO dans une interview publiée lundi que l'Europe risquait un « piège complet ». Ce piège survient si l'Europe se concentre sur l'IA industrielle en laissant les modèles de pointe aux États-Unis et à la Chine.

« L'idée qu'on puisse construire quoi que ce soit de significatif sans posséder la fondation, c'est-à-dire les modèles de raisonnement, les cerveaux capables de faire fonctionner les usines, d'aider à concevoir de meilleurs systèmes… est, je pense, un piège complet », a déclaré Mensch.

Ses propos sont intervenus alors que le gouvernement allemand dévoilait lundi son plan pour faire de l'Allemagne une « nation souveraine de l'IA » d'ici 2030, avec au moins trois laboratoires européens d'IA de pointe. Mensch a salué l'ambition mais ajouté : « Il n'y a pas de stratégie nationale de l'IA. Il faut une stratégie européenne de l'IA. » Il fait aussi face à un contre-argument commercial. POLITICO a rapporté que le moteur de recherche allemand Ecosia avait cessé d'utiliser les modèles de Mistral après avoir conclu qu'ils ne répondaient pas à ses besoins. Son PDG a déclaré que le passage à des modèles chinois avait réduit les coûts de moitié tout en améliorant les performances.

POLITICO a également rapporté samedi que Bruxelles avait un plan pour gagner la prochaine révolution technologique via un acte sur le quantique. C'est un rappel que la réponse de l'UE à la perte d'une course technologique a été de légiférer pour la suivante.

Des règles qui arrivent avec une date

Certaines règles technologiques européennes ont des échéances fermes, et les entreprises feraient bien de les lire. Electrek a rapporté lundi qu'à partir du 18 février 2027, les nouvelles batteries de vélos électriques vendues dans l'UE devront avoir un passeport numérique de batterie accessible par QR code, en vertu du règlement européen sur les batteries de 2023. Le passeport peut contenir des données sur le fabricant, la chimie, la capacité, le nombre de cycles, l'empreinte carbone et les matériaux. Ce qu'un acheteur ordinaire voit dépend du niveau d'autorisation.

CleanTechnica, citant Transport & Environment, a rapporté lundi la proposition de révision du système d'échange de quotas d'émission de l'UE publiée en juillet 2026. Il indiquait que la proposition n'était pas adaptée pour soutenir l'investissement dans les carburants propres dans l'aviation et le transport maritime. Il plaidait pour réserver 50 % des revenus nationaux du SEQE au soutien à la décarbonation.

Les entreprises de paiement ont leur propre pression d'échéance. FinTech Weekly notait le 28 octobre que la vérification du bénéficiaire fêtait son premier anniversaire et que les paiements instantanés testaient encore l'Europe. C'est un résumé plus direct de l'état des lieux que n'importe quel document de consultation.

La lecture transversale

Mises bout à bout, les nouvelles de la semaine décrivent une politique technologique européenne bruyante sur l'infrastructure et silencieuse sur les règles opérationnelles dont les entreprises ont besoin. Le protocole d'accord Bull et Schwarz Digits, la stratégie de souveraineté allemande et les avertissements de Mensch sont tous des arguments sur qui possède la pile. La clause sur les sites clones, la passation de marché de l'euro numérique et l'expérience de la vérification du bénéficiaire portent sur la question de savoir si la tuyauterie fonctionne.

Pour les fintechs, la deuxième catégorie décide du business. Un projet de règle sur les sites clones peut modifier l'onboarding et la responsabilité. Une liste de fournisseurs pour l'euro numérique peut modifier les rails. Un régime de vérification du bénéficiaire encore en rodage après un an peut modifier les coûts de fraude et les taux de conversion.

Et les attaques contre les réfrigérateurs rappellent que la couche de sécurité sous tout cela n'est pas théorique. Une technologie héritée connectée à internet avec des mots de passe par défaut, comme le Guardian l'a rapporté des incidents français le mois dernier, relève de la même classe de problème. Les systèmes de paiement dépensent des millions pour tenter de l'éviter.

Le prochain vrai signal viendra de Bruxelles, pas de Berlin. Tant que le texte sur les règles de paiement ne sera pas arrêté et publié, le secteur fintech lira des projets et surveillera les avis de marché. C'est un pauvre substitut à un livre de règles, mais c'est tout ce qui existe pour l'instant.