Gouvernance
Tomasz Blanc (DGFiP) : « Au coeur de l’État, nous sommes une administration régalienne du numérique »
Par Thierry Derouet, publié le 27 février 2026
La Direction générale des Finances publiques administre l’un des SI les plus stratégiques de l’État : près de 800 applications, 5 000 agents, l’impôt sur le revenu, le prélèvement à la source, bientôt des milliards de factures électroniques. À sa tête, Tomasz Blanc raconte comment la DGFiP fait monter en puissance le cloud souverain Nubo, prend le virage de l’IA tout en résorbant la dette technique d’un SI de plus de quarante ans.
Entretien avec Tomasz Blanc, DSI chef du service des systèmes d’information de la DGFiP
Dans les documents internes de la DGFiP, il y a une forme de franchise rare. On y lit noir sur blanc le poids de sa « dette technique » héritée d’années de sousinvestissements et la nécessité de faire une priorité de sa résorption. On y voit aussi travailler ce que Tomasz Blanc appelle une « administration régalienne », avec un SI profondément impliqué dans le fonctionnement du pays.
Depuis la fusion DGI-DGCP en 2008, la maison a tenu bon. Elle a absorbé le prélèvement à la source, la dématérialisation massive des démarches fiscales, la montée en puissance d’un cloud souverain interministériel, l’IA et ses premières applications, et se prépare désormais, avec les acteurs privés, à la prochaine réforme majeure de modernisation, la facturation électronique, qui va irriguer la DGFiP de milliards de données de facturation. « On a connu des années de vaches maigres, de ralentissement des chantiers de fond, raconte Tomasz Blanc. Aujourd’hui, l’usine tourne à plein régime. »
Comment en vient-on à prendre la tête d’un système d’information comme celui de la DGFiP ?
L’informatique, j’en fais depuis que je suis tout petit. J’ai même fini mes études par une thèse en informatique sur un sujet très théorique, les propriétés de sécurité dans le lambda-calcul [L’art de démontrer qu’un programme peut tourner dans tous les sens… sans jamais laisser s’échapper le moindre secret, NDLR]. J’ai choisi d’entrer dans l’administration pour travailler sur des sujets très concrets.
Le premier grand moment à vivre a été la fusion entre la DGI et la DGCP. Qui dit fusion dit rationalisation du SI : il a fallu éliminer les doublons sur les intranets, les systèmes d’authentification, les briques transverses. D’un côté, il y avait la collecte ; de l’autre, le paiement des dépenses. Réunir tout cela, même en région, représentait vraiment un gros chantier. Notre organisation informatique, ce n’est pas uniquement Paris, ce sont plus de trente implantations en région.
Le deuxième temps fort, ce sont les fortes contraintes budgétaires qui ont pesé. Il a fallu aller chercher de la rationalisation, réduire les coûts, numériser pour réaliser des économies pour la maison. C’est aussi à ce moment-là que de la dette technique a été générée, car on a dû ralentir un certain nombre d’opérations de fond.
Le troisième grand moment a été la mise en place du prélèvement à la source. Il y a eu neuf mois d’étude d’urbanisation pour savoir comment faire, et voir aussi de quelle manière la réforme pouvait être conduite. Puis la préparation des infrastructures, des projets, des tests et, début 2019, le déploiement. Le tout dans de bonnes conditions. Un vrai succès, souvent cité comme l’exemple de la réforme réussie.
Désormais se profile la bascule vers la facturation électronique et les milliards de factures qui vont irriguer nos systèmes chaque année. Cette volumétrie est considérable et ne tient pas seulement aux flux, mais aussi au nombre d’acteurs concernés. C’est un projet assez original, parce qu’il repose à la fois sur l’administration – la DGFiP et l’AIFE –, sur des plateformes privées et, bien entendu, sur les entreprises. Pour réussir cette réforme de modernisation, tous les acteurs doivent être au rendez-vous. On s’y prépare ! Il y a déjà eu beaucoup de travail pour qualifier le rôle de chacun, pour les agréments et la collaboration avec les plateformes agréées sur nos environnements de tests.
Vous insistez, dans votre schéma directeur, sur la dimension régalienne et sur la souveraineté. Vous vous percevez comme une DSI particulièrement politique ?
Je ne parlerais pas de politique au sens partisan, mais nous nous sentons clairement comme une administration régalienne. Nous sommes vraiment au coeur du fonctionnement de l’État. Nous sommes très impliqués sur les questions de souveraineté. Et cela ne date pas d’hier (voir encadré).
« Nous avons un chiffre simple – notre taux de conformité technique – qui nous permet, en discussion budgétaire, de dire : « Vous nous avez donné des moyens, voilà le résultat, et voilà la trajectoire pour continuer à progresser. » »
La dette technique. Vous la nommez, vous la quantifiez, vous en faites un axe central de votre feuille de route ?
Nous avons un chiffre simple – notre taux de conformité technique – qui nous permet, en discussion budgétaire, de dire : « Vous nous avez donné des moyens, voilà le résultat, et voilà la trajectoire pour continuer à progresser. »
Sur le fond, nous utilisons toutes les recettes possibles. De la migration pure et simple pour sortir d’infrastructures obsolètes : c’est ce que nous avons fait pour le calcul de l’impôt sur le revenu, basculé il y a deux ans vers un nouveau système après deux campagnes rejouées entièrement. De la réécriture complète : une application a été réécrite de zéro et mise sur le cloud. Et il y a le remplacement par des produits existants : en début d’année, nous avons basculé le paiement des retraites de l’État – près de deux millions et demi de personnes – sur un système d’information co-développé avec la Caisse des dépôts et consignations, ce qui va nous permettre de décommissionner une application en forte dette technique en mutualisant les outils.
Et puis, il ne faut pas négliger les applications moins anciennes. Car si on laisse une application seule dans son coin, la dette se reforme en quelques années. Nous parlons aujourd’hui de près de 800 applicatifs. Nous avons un enjeu de rationalisation, pour réduire le nombre de celles vues par les agents.
Sur le poste de travail, vous avez déjà beaucoup
fait. Reste la question de l’architecture cible,
et en particulier celle du cloud Nubo ?
À la DGFiP, le secret fiscal fait partie de notre ADN. Assurer une bonne protection des données que les usagers nous confient en faisant leur déclaration de revenus, leur TVA, en nous donnant des informations sur leur patrimoine, c’est fondamental. L’idée d’aller poser ces données chez des acteurs soumis au Cloud Act, par exemple, était et reste inimaginable. D’où Nubo.
Mais ce n’est pas le cloud de la DGFiP, c’est un cloud de l’État opéré par la DGFiP. Les premières applications y sont depuis 2020. Parmi elles, le Fonds de solidarité pendant la crise Covid. On nous a demandé de mettre en place un système d’aide pour les petites entreprises ; nous avons conçu cela en quinze jours. Une partie tournait sur Nubo. La preuve d’une véritable agilité.
Depuis, c’est devenu notre architecture standard. Quand un projet se lance, ou lorsqu’une application passe par une remise à niveau technique, l’option par défaut, c’est Nubo. Il peut y avoir des incompatibilités techniques, mais cela reste l’exception. Aujourd’hui, environ 22 % de notre SI y a déjà migré.
« L’idée d’aller poser ces données chez des acteurs soumis au Cloud Act, par exemple, était et reste inimaginable. »
Vous avez une Plateforme Sécurisée de Données (PSD) présentée comme le socle de votre gouvernance data. Que mettez-vous derrière ce terme ?
Notre SI est encore très marqué par les silos, qui ont découlé de ses nombreuses missions : la fiscalité des particuliers, celle des professionnels, la fiscalité foncière, la tenue des comptes de l’État, celle des collectivités locales, la dépense des collectivités, le fichier immobilier des propriétaires, le cadastre…
De ce fait, la DGFiP ne valorise pas encore tout le potentiel de ses données. Pour en tirer un meilleur bénéfice, il faut que nous en décrivions le sens, que nous les partagions mieux entre métiers. La gouvernance des données, c’est cette démarche de fond, de long terme : documenter, décrire, rendre intelligibles des volumes considérables. Et, ensuite, les rendre disponibles sur une plateforme sécurisée, qui offre les outils pour faire des croisements, tout en respectant la réglementation sur la protection des données. Nous collaborons d’ailleurs étroitement avec la CNIL pour nous assurer que nous respectons bien les règles.
Quand on parle de croisement de données, on pense spontanément au contrôle fiscal, mais nous avons aussi des opportunités en termes de qualité de service, pour trouver des cas d’usage qui apportent de la simplification aux usagers et de la productivité pour la DGFiP.
Parcours de
Tomasz Blanc
Depuis septembre 2022 :
Chef du service des SI de la DGFiP (DSI de fait).
–
2021-2022 :
Directeur de la « Direction des projets numériques » (service à compétence nationale rattaché au SSI de la DGFiP).
–
2017-2021 :
Sous-directeur du développement / des études et du développement au service des SI de la DGFiP.
–
2012-2017 :
Sous-directeur de la production informatique de ce même service.
–
2007-2012 :
A la DGFiP, adjoint au chef de bureau en charge de la maîtrise d’oeuvre des nouveaux développements.
–*–
FORMATION
École polytechnique (1998),
avec Télécom Paris (2003) comme école d’application.
Doctorat en informatique, thèse à l’Inria (2003-2007).
Vous n’avez pas attendu qu’on parle de ChatGPT pour utiliser des algorithmes. Mais comment passe-t-on du prototype à la production ? Et comment garantissez-vous une IA responsable dans un contexte public ?
À la DGFiP, l’IA, ce n’est pas nouveau. Pour le contrôle fiscal, nous avons des programmes de data mining qui permettent d’identifier des entreprises ou des usagers pour lesquels il y a potentiellement fraude ou incohérences. Mais derrière, c’est toujours supervisé par un agent, par un vérificateur de contrôle fiscal. C’est la même chose pour le « foncier innovant ». Nous détectons des piscines sur des photos aériennes, à partir de données publiques de l’IGN, mais il y a toujours un agent de la DGFiP qui procède aux vérifications avant d’écrire au propriétaire de la piscine.
La nouveauté, c’est l’IA générative. Là, on change de paradigme. On passe à des systèmes qui interagissent souvent directement avec l’agent, voire avec l’usager, avec parfois des erreurs, des hallucinations. Notre première application pratique, c’est « LLaMandement ». Au moment du projet de loi de finances, lorsqu’il y a des centaines, parfois des milliers d’amendements à étudier dans des délais très contraints, nous avons un programme qui les analyse, en fait un résumé et le distribue aux personnes compétentes. Auparavant, il fallait plusieurs personnes et toute une nuit pour ce dispatching. Aujourd’hui, cela se fait en un quart d’heure, avec une qualité de résumé équivalente et pas plus d’erreurs d’aiguillage qu’avant.
Nous avons acheté quelques GPU pour démarrer, mais avec tous les cas d’usage que nous imaginons, il faudra en acquérir d’autres. Parmi ces cas, certains sont déjà en expérimentation : des assistants conversationnels enrichis avec le corpus documentaire de la DGFiP, pour aider les agents à naviguer dans une réglementation très complexe ; un assistant de « langage clair », pour reformuler les messages et les rendre plus compréhensibles, moins techniques pour les usagers. Les premiers retours sont bons. Pour nous, être compris est un enjeu majeur.
Sur l’explicabilité, aujourd’hui, la question ne se pose pas chez nous dans les mêmes termes que dans le privé : qu’il s’agisse d’IA prédictive ou d’IA générative, il y a toujours un superviseur humain. Il y a donc un enjeu d’appropriation considérable. Si on veut en faire un bon usage, il faut que les agents aient une compréhension correcte de ces outils, connaissent bien les limites et évitent le piège du « l’IA l’a dit, donc c’est vrai ».
« Si on veut en faire un bon usage, il faut que les agents aient une compréhension correcte de ces outils, connaissent bien les limites et évitent le piège du « l’IA l’a dit, donc c’est vrai « . »
Vous êtes, comme d’autres ministères, soumis aux directives NIS 2 et aux exigences de l’ANSSI. Comment est-ce intégré dans votre façon de travailler ?
La sécurité, c’est un sujet pour nous depuis longtemps. Je dirais même que cela fait partie de notre ADN. Nous avons une culture de protection des données liée au secret fiscal. Nous avons très tôt intégré les bonnes pratiques de l’ANSSI. Nous sommes une cible bien identifiée pour les cyber-attaquants, et nous avons vu leur montée en compétence. Nous avons progressé nous aussi. La clé, c’est l’intégration de la sécurité dès la conception des projets. Ensuite, il faut compléter par des audits. Quand nous homologuons nos projets, nous faisons des audits statiques, des audits dynamiques, parfois du bug bounty, pour valider par la pratique que nos systèmes sont conformes à ce que nous avons prévu.
Nous avons tout l’arsenal de protection : parefeu, anti-DDoS, supervision de sécurité, que nous assurons d’ailleurs en interne. Mais nous rencontrons des difficultés avec les applications anciennes, qui n’ont pas été conçues avec ces exigences dès le départ. Malgré cela, nous sommes plutôt bien positionnés. Je touche du bois. Il ne faut jamais être triomphaliste sur ces sujets.
Vous vous êtes engagés à réduire de 20 % votre consommation énergétique d’ici 2027. Comment vous y prenez-vous ?
La DGFiP a déjà réalisé plusieurs bilans d’émissions de gaz à effet de serre. C’est un effort global, qui ne concerne pas que l’IT. Les bâtiments, les déplacements, les achats pèsent beaucoup. Le numérique aussi, mais il peut en sens inverse aider à abaisser ces émissions.
Pour la DSI, le levier fondamental, ce sont nos data centers. Nous sommes dans des phases de rénovation ; quand nous le faisons, c’est pour gagner en efficacité énergétique et en résilience. Nous travaillons aussi sur le matériel : la fabrication d’un poste de travail est la phase la plus émettrice. Nous avons donc allongé de cinq à six ans la durée de vie des postes de travail PC.
Au sujet plus particulièrement des systèmes d’exploitation, il faut noter que nos postes de travail sont très peu adhérents à Microsoft en dehors de Windows : nous n’utilisons pas Microsoft Office, et pas d’Active Directory. Nous réfléchissons à des postes Linux, parce qu’ils permettent d’aller plus loin en écoresponsabilité et en souveraineté. Si nous voulons passer de six ans à sept ans en termes de durée de vie, Linux peut être une solution, au contraire de Windows avec lequel, à chaque nouvelle version, une partie du parc devient obsolète.
Comment faites-vous pour attirer et fidéliser dans un marché aussi tendu que celui de l’IT, et pour faire évoluer les profils ?
La DGFiP, en tant qu’acteur du numérique public, est un employeur attractif. Parce que nos projets sont séduisants, par leur visibilité, par leur dimension à l’échelle du pays. Nous valorisons également notre qualité de vie au travail et l’accompagnement de nos agents.
Par ailleurs, et même si nous avons une organisation forte de 5 000 agents, nous avons une politique d’externalisation où, systématiquement, nous gardons la maîtrise. Les sociétés de services viennent en appui, mais les chefs de projet, les sachants critiques, sont internes.
L’attractivité passe aussi par le « faire savoir ». Nous sommes présents sur les réseaux sociaux, nous avons des vidéos témoignages d’agents qui parlent de leur métier, nous publions nos offres de postes et nos actualités. Et nous avons un volet « terrain » : notre trentaine d’établissements tissent des liens avec les écoles locales, que ce soit des écoles d’ingénieurs ou des formations Bac +2, Bac +3. Nous recrutons à tous les niveaux.
Ensuite, il y a la formation tout au long de la carrière. Nous avons des agents qui restent plus de quarante ans chez nous. Ils ont démarré sur du COBOL, et aujourd’hui ils sont passés à du Java, ou ils ont changé de métier dans l’informatique. Au cours de l’histoire du SI de la DGFiP, il y a eu des réorganisations, des établissements informatiques en région qui ont basculé d’une mission à l’autre. Nous avons le savoir-faire pour accompagner les agents sur de nouvelles missions. Et je le dis d’autant plus facilement que j’en suis un exemple : j’ai évolué de projet en projet, de mission en mission.
« Nous sommes dans des phases de rénovation ; quand nous le faisons, c’est pour gagner en efficacité énergétique et en résilience. »
Il y a un style de management qui caractérise la DSI de la DGFiP ?
Nous sommes à l’équilibre entre deux cultures managériales. Nous avons un management hiérarchique, administratif, peut-être un peu old school, mais qui a l’avantage de définir clairement les rôles et les responsabilités, d’être lisible. Nos agents se reconnaissent bien dans cette organisation.
Et nous avons une culture plus typique du numérique. L’informatique est un métier très collectif, avec une évolution permanente, où l’écoute et le dialogue restent essentiels. Dans toutes les DSI, il y a des sachants qui ne sont pas forcément des grands chefs. Ce sont des experts techniques, des experts fonctionnels, des équipes de terrain. Ils sont présents à tous les échelons. Il y a un vrai réflexe d’écoute à leur égard, et de cette expérience venant du terrain pour trouver les bonnes solutions. La réussite, c’est de marier ces deux cultures, celle du collectif, de la responsabilisation, de la délégation, des modes projet et de l’agile ; et celle apportée par une hiérarchie lisible, qui donne le cadre nécessaire.
Propos recueillis par : THIERRY DEROUET / Photos : MAŸLIS DEVAUX
La souveraineté comme culture maison
À la DGFiP, la souveraineté n’est pas un label, c’est une trajectoire patiemment construite. Les questions de dépendance aux éditeurs, aux services, aux infrastructures non européennes, sont travaillées depuis plus de vingt ans. Le recours au logiciel libre y est massif, et assumé comme un choix stratégique. La DGFiP a mis en place, dès le début des années 2000, des marchés de support pour les logiciels libres, souvent opérés par des sociétés de services françaises, dans une logique interministérielle, afin de disposer de SLA équivalents à celui des grands éditeurs. Sur le poste de travail, l’adhérence à Microsoft est limitée : Windows reste présent, mais pas la suite Office. Les nouveaux projets sont engagés, par défaut, sur le cloud Nubo et sur une pile 100% libre – Linux, PostgreSQL, Tomcat. De même pour notre plateforme sécurisée de données, qui s’appuie aussi sur des briques du logiciel libre. Les solutions propriétaires ne viennent qu’en exception, lorsque les équipes peuvent en justifier la nécessité. « Nos agents sont très imprégnés de cette culture, insiste Tomasz Blanc. Le logiciel libre, chez nous, c’est un sujet stratégique. »
À LIRE AUSSI :
À LIRE AUSSI :
