Ce que le manifeste Palantir révèle malgré lui sur le droit européen de l’IA

Un texte d’entreprise qui se lit comme une doctrine d’État

En 2025, Alexander Karp, PDG de Palantir, et Nicholas Zamiska publiaient The Technological Republic. En avril 2026, un résumé en 22 thèses diffusé sur X déclenchait une vague de réactions qui a largement dépassé le cercle habituel des lecteurs de littérature techno-politique. Le texte a été lu, commenté et relayé comme un essai sur le patriotisme technologique, la puissance militaire et le rôle de la Silicon Valley dans la défense de l’Occident.

Lu par un juriste, le manifeste réunissant les 22 thèses est quelque chose de plus rare : une entreprise qui théorise publiquement son propre modèle économique sous forme de doctrine. Palantir ne se présente pas comme un prestataire de services. Il se présente comme un constructeur de puissance nationale, dont les produits constituent, selon ses propres termes, l’infrastructure de la prochaine ère de dissuasion. Ce positionnement n’est pas anodin sur le plan juridique, et soulève trois questions que les auteurs n’ont visiblement pas cherché à poser et pour lesquelles le droit européen de l’IA ne dispose pas encore d’un cadre unifié.

Ce que fait Palantir, en deux minutes

Palantir Technologies est une société américaine fondée en 2003, spécialisée dans l’analyse de données massives pour des clients gouvernementaux et privés. Ses deux produits historiques sont Gotham, déployé principalement dans les domaines militaire et du renseignement, et Foundry, orienté vers les grandes organisations civiles et industrielles. Un troisième produit, AIP, intègre des capacités d’intelligence artificielle générative à ces plateformes.

La particularité de l’architecture Palantir est ce que ses équipes appellent l’ontologie opérationnelle : une représentation unifiée des données d’une organisation, connectant en temps réel des flux hétérogènes (renseignement, logistique, finances, communications) dans un graphe de connaissance unique. Cette intégration crée une dépendance structurelle : migrer hors du système implique de reconstruire non seulement l’infrastructure technique, mais aussi la mémoire institutionnelle de l’organisation cliente.

Premier angle : une exclusion réglementaire que le manifeste rend visible

L’AI Act exclut le militaire, mais la frontière est poreuse

L’AI Act, entré en vigueur en août 2024, exclut de son champ d’application les systèmes d’intelligence artificielle développés ou déployés exclusivement à des fins militaires et de sécurité nationale (Article 2§3). C’est un choix délibéré du législateur européen et une limite constitutionnelle de l’Union Européenne : ces usages relèvent de la souveraineté des États membres. Le Considérant 24 précise cependant que les systèmes placés sur le marché à la fois pour des fins militaires et pour des fins civiles tombent dans le champ du règlement, et que leurs fournisseurs doivent en assurer la conformité.

Ce choix n’est pas une négligence du législateur. Il reflète une contrainte constitutionnelle explicite : l’Article 4§2 du Traité sur le fonctionnement de l’Union Européenne réserve la défense nationale à la compétence exclusive des États membres. L’UE ne pouvait pas réglementer ce domaine sans franchir une limite des traités. Ce que le manifeste révèle n’est donc pas un oubli : c’est la limite structurelle de ce que le droit de l’UE peut atteindre, et la zone d’indétermination que cette limite crée dès qu’un système traverse la frontière civil/militaire.

Le manifeste Palantir revendique précisément ce positionnement. « Hard power in this century will be built on software » (thèse 4), « a new era of deterrence built on AI is set to begin » (thèse 12) : le texte ancre les produits de l’entreprise dans la catégorie de l’infrastructure de défense nationale, là où la réglementation européenne s’arrête. Sur le plan strictement formel, la cohérence est parfaite.

Être hors champ de l’AI Act n’est pas une question de forme. C’est une question d’obligations concrètes : évaluation de conformité, gestion documentée des risques, exigences de transparence envers les utilisateurs, supervision humaine effective, surveillance post-commercialisation. Un système exclu du règlement n’est soumis à aucune de ces contraintes, et son fournisseur n’a pas à en démontrer le respect devant une autorité tierce. Pour un État acheteur, cela signifie acquérir un système sans garantie juridique indépendante sur son fonctionnement, ses biais éventuels, ou sa capacité à être audité. La question de savoir si les systèmes Palantir entrent ou non dans le champ de l’AI Act n’est donc pas une querelle de qualification. Elle détermine si un contrôle démocratique sur ces systèmes est juridiquement possible, ou non.

Quand la même architecture sert deux maîtres

Gotham, le produit historique de Palantir, est déployé dans des contextes militaires et de renseignement. Foundry, sa déclinaison civile, équipe des organisations de santé, des administrations publiques, des opérateurs d’infrastructures critiques. AIP superpose une couche d’intelligence artificielle générative aux deux. Ces trois produits reposent sur la même architecture ontologique : le même graphe de connaissance, les mêmes pipelines de traitement, la même logique d’intégration des données.

Ce point est juridiquement central, car l’exclusion de l’Article 2§3 porte sur l’usage et non sur la technologie. Un système conçu pour un usage militaire et redéployé dans un contexte civil (ou un système civil utilisé dans un contexte de sécurité intérieure) entre dans le champ de l’AI Act. L’Annexe III classe explicitement parmi les systèmes à haut risque ceux utilisés dans l’administration de la justice, la gestion des infrastructures critiques ou l’application de la loi. Le Considérant 24 confirme explicitement que l’exclusion ne couvre pas les systèmes à double usage. Pour Palantir, dont la même architecture ontologique sous-tend Gotham et Foundry, cette précision fragilise considérablement la position d’extériorité au règlement que le manifeste revendique implicitement.

La question de qualification devient alors concrète : qui détermine l’usage effectif d’un système dont l’architecture est indifférente à la distinction civil/militaire ? Sur quelle base ? Avec quelle capacité d’audit indépendant ? L’AI Act ne répond pas à ces questions pour des systèmes à double usage, parce qu’il n’a pas été conçu pour les traiter.

Le précédent Health Data Hub

Le cas français est éclairant, précisément parce qu’il s’est produit avant l’AI Act et révèle la persistance du problème indépendamment du cadre réglementaire.

En 2019, dans le cadre de la création du Health Data Hub (plateforme nationale d’accès aux données de santé destinée à la recherche) un premier contrat d’hébergement a été attribué à Microsoft, non à Palantir. Palantir figurait parmi les acteurs dont la candidature potentielle avait été évoquée, et la seule perspective d’un opérateur américain traitant des données de santé de l’ensemble de la population française a suffi à déclencher une mobilisation juridique et politique. La CNIL a émis des réserves formelles sur les risques liés au Cloud Act américain, qui autorise les autorités américaines à accéder aux données hébergées par des entreprises soumises au droit américain, quelle que soit leur localisation géographique. La question a été portée devant le Conseil d’État, qui a suspendu temporairement le transfert de certaines données. Le contrat Microsoft a finalement été maintenu mais sous conditions, avec un engagement de migration vers une solution souveraine qui reste, en 2026, inachevé.

Ce précédent illustre deux choses. D’abord, que les tensions juridiques autour du modèle Palantir en Europe ne se réduisent pas à la frontière civil/militaire : elles portent sur la structure même de la dépendance à des opérateurs soumis à un droit extraterritorial. Ensuite, que l’absence d’un cadre de qualification du double usage dans l’AI Act laisse ouverte, en 2026, une question que la pratique a déjà posée bien avant son entrée en vigueur.

Deuxième angle : la supervision humaine significative comme exigence théorique

Ce que l’Article 14 exige

L’Article 14 de l’AI Act impose aux systèmes à haut risque de permettre une supervision humaine effective. L’exigence est formulée avec précision : les opérateurs humains doivent comprendre les capacités et les limites du système, être en mesure d’interpréter ses outputs, et conserver la capacité de désactiver ou d’ignorer ses recommandations lorsque la situation l’exige.

Ce mécanisme repose sur un postulat implicite : que la personne en position de superviser dispose du temps, de la compétence technique et de l’autorité institutionnelle nécessaires pour exercer un contrôle substantiel. C’est un postulat raisonnable pour un système de scoring de crédit ou de triage médical. La question se pose autrement dès lors que la vitesse est précisément ce que le système vend.

Ce que la vitesse stratégique impose

Le manifeste Palantir pose explicitement la rapidité comme impératif. La thèse 5 affirme que les adversaires des démocraties occidentales « ne s’arrêteront pas pour des débats théâtraux sur les mérites des technologies à application militaire ». La thèse 12 décrit une nouvelle ère de dissuasion construite sur l’IA, dont la logique suppose une capacité de réponse que le délibératif humain ne peut pas égaler.

Ce n’est pas une position marginale. C’est la doctrine opérationnelle que Palantir vend à ses clients gouvernementaux, et elle est cohérente avec ce que ces clients achètent : des systèmes capables d’agréger, d’analyser et de formuler des recommandations sur des volumes de données que nulle équipe humaine ne pourrait traiter dans les mêmes délais.

Ce n’est pas une tension conjoncturelle, et elle est inscrite dans la logique même du produit. L’AI Act demande que l’humain puisse reprendre la main. La doctrine Palantir pose que c’est précisément cette capacité de reprise en main qui constitue le handicap compétitif des démocraties face à leurs adversaires.

Quand la supervision devient un rituel

Cette tension produit un glissement que le droit n’a pas encore su nommer correctement. Lorsqu’un système démontre un taux de précision suffisamment élevé sur la durée, la supervision humaine ne disparaît pas formellement, elle se transforme. Le décideur en position de valider une recommandation algorithmique n’exerce plus un contrôle substantiel : il accomplit un rituel de validation.

Ce glissement est documenté en dehors du contexte Palantir, il a été observé dans la radiologie assistée par IA, dans les systèmes de détection de fraude, dans les outils de modération de contenu à grande échelle. Le décideur humain valide parce que le système a été juste la dernière fois, et celle d’avant, et celle d’encore avant. Questionner la recommandation requiert une expertise technique que la plupart des organisations ne concentrent pas au niveau où les décisions sont prises.

L’Article 14 n’a pas de réponse à ce glissement. Il exige la supervision sans définir ce qui distingue un contrôle substantiel d’une validation formelle. Dans des contextes où la vitesse est une contrainte opérationnelle réelle (sécurité intérieure, ciblage militaire, gestion de crise) cette absence de définition n’est pas un détail technique. C’est le point précis où l’exigence réglementaire risque de devenir une fiction opérationnelle.

Troisième angle : le vide juridique autour de la dépendance souveraine

Dépendance technologique ou dépendance souveraine ?

La dépendance technologique est un phénomène ordinaire dans les relations contractuelles entre une organisation et son prestataire logiciel. Le droit des marchés publics, le droit de la concurrence et les pratiques contractuelles standard disposent d’instruments pour la gérer : clauses de réversibilité, exigences de portabilité des données, durées d’engagement encadrées.

Ce que le manifeste Palantir décrit est d’une nature différente. « Hard power in this century will be built on software » décrit une position d’infrastructure, et non seulement un avantage concurrentiel. Lorsque l’ontologie opérationnelle d’une organisation de défense ou de renseignement est entièrement construite sur la plateforme d’un prestataire privé, la dépendance ne porte plus simplement sur un outil. Elle porte sur la capacité même de l’organisation à fonctionner, à décider, à transmettre sa mémoire institutionnelle à ses successeurs.

Ce seuil, celui où la dépendance technologique devient une dépendance souveraine, n’est pas défini dans le droit européen actuel. Il n’existe pas de critère juridique permettant de le franchir, de le constater ou d’en tirer des conséquences. Le renouvellement en décembre 2025 du contrat liant la DGSI à Palantir pour trois années supplémentaires l’illustre concrètement. Une sénatrice a interrogé le ministre de l’Intérieur en rappelant que le partenariat initial de 2015 avait été présenté comme une solution transitoire, dans l’attente du développement de capacités alternatives françaises ou européennes. Dix ans plus tard, le contrat est reconduit. La solution transitoire est devenue l’infrastructure permanente.

Ce seuil n’a pas encore de traduction en droit positif, et c’est précisément ce que cet article propose de nommer.

Les instruments juridiques existants et leurs limites

Le Data Act, applicable depuis septembre 2025, impose des exigences d’interopérabilité et de portabilité aux fournisseurs de services cloud et de traitement de données (Articles 23 à 31). Il prévoit notamment le droit pour un client de changer de prestataire sans obstacle technique disproportionné. Le Data Act a cependant été conçu pour le marché des données commerciales : il ne couvre pas les systèmes d’information de défense, et ses mécanismes de portabilité supposent que les données puissent être extraites et réutilisées indépendamment du système qui les a structurées. Dans le cas de l’architecture ontologique Palantir, c’est précisément ce que la dépendance rend techniquement improbable.

La Directive 2014/24/UE sur les marchés publics permet d’imposer des clauses de réversibilité dans les contrats publics. C’est un levier réel, mais son efficacité dépend de la capacité du pouvoir adjudicateur à définir contractuellement ce que « reprendre le contrôle » signifie techniquement : une définition qui suppose une expertise que la plupart des administrations ne détiennent pas en interne.

Le Règlement (UE) 2019/881 sur la cybersécurité et la Directive NIS2 imposent des exigences de résilience aux opérateurs d’infrastructures critiques, incluant la capacité à maintenir leurs fonctions essentielles en cas de défaillance d’un prestataire. C’est l’instrument le plus proche d’une réponse à la dépendance souveraine, mais il traite la résilience comme un problème de continuité opérationnelle, pas comme un problème de souveraineté décisionnelle.

La question que le droit commence à peine à formuler

Ces instruments partagent une limite commune : ils ont été conçus pour répondre à des problèmes de marché, de concurrence ou de continuité de service. Aucun n’a été pensé pour répondre à la question que le manifeste Palantir pose implicitement.

Cette question est la suivante : à partir de quel niveau d’intégration d’un acteur privé dans l’infrastructure décisionnelle d’un État, le droit doit-il intervenir pour garantir que cet État conserve la capacité de reprendre le contrôle ? Et non pas techniquement, mais souverainement ?

Ce n’est pas une question hypothétique. Les contrats DoD, la présence de Palantir dans plusieurs systèmes de commandement de l’OTAN (contrat Maven Smart System finalisé avec l’OTAN le 25 mars 2025, acquis en procédure sole-source, sans mise en concurrence, en six mois seulement), les discussions en cours dans plusieurs États membres sur l’utilisation de ces plateformes dans la gestion des frontières et de la sécurité intérieure : tout cela pose déjà la question en pratique. Le droit européen n’a pas encore les outils conceptuels pour y répondre et le manifeste Palantir, en théorisant ouvertement ce positionnement d’infrastructure souveraine privée, rend ce vide plus visible qu’il ne l’était.

Conclusion

Le manifeste Palantir est un texte sur la puissance, sur ce qu’il faut construire, et pourquoi maintenant. C’est un texte cohérent, écrit par des gens qui savent exactement ce qu’ils font et qui ont choisi de le dire.

Ce qu’il ne contient pas mérite d’être relevé. Le manifeste ne dit rien sur la réversibilité, rien sur l’audit indépendant (ni sur ce qu’auditer signifie concrètement pour un système dont l’architecture est propriétaire par construction), rien sur la responsabilité en cas d’erreur algorithmique dans un contexte militaire ou de sécurité publique. Pas un mot sur ce qu’il adviendrait de la mémoire institutionnelle d’un État qui aurait externalisé sa capacité décisionnelle et déciderait, un jour, de la reprendre.

Ce n’est pas une critique, un manifeste n’est pas un cahier des charges. Mais ces silences sont précisément là où le droit européen cherche à poser des exigences depuis 2021 : un cadre qui pose la supervision, la transparence et la réversibilité comme conditions non négociables du déploiement de l’IA dans des contextes à enjeux élevés.

Le problème est que ce cadre a été conçu pour un modèle de déploiement que Palantir ne pratique pas, dans des espaces que l’AI Act a délibérément laissés hors champ. Le manifeste le dit sans le dire. Le droit européen a commencé à entendre, le Considérant 24 en est une trace, mais il n’a pas encore les instruments pour répondre.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Suite : Derrière ChapsVision, la souveraineté que personne ne définit

Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain