Défense, cyber & renseignement (ANSSI/Palantir)
Ce domaine réunit les auditions qui touchent au cœur régalien du numérique : le renseignement, la cyberdéfense, la sécurité de la chaîne logicielle, l'IA militaire et les fuites de données à conséquence stratégique. Une ligne de force traverse l'ensemble : la France a laissé s'installer des dépendances technologiques critiques — américaines pour l'essentiel, parfois israéliennes — jusque dans ses fonctions les plus sensibles, et le corpus cherche à distinguer, à chaque niveau, la vulnérabilité réelle de la dramatisation. Le débat oppose moins des camps figés qu'il n'articule deux voies vers la souveraineté : la reprendre par la loi et la régulation, ou la construire par l'industrie et la consolidation d'une offre européenne.
Palantir : renseignement et systèmes classifiés. C'est le cas d'école du domaine, abordé par huit auditions avec un clivage net. D'un côté, l'alarme de principe : Henri Verdier juge sous serment que le contrat Palantir-DGSI « a toujours été une erreur », Bernard Benhamou y voit un risque de sécurité nationale (« penser que des accords de non-divulgation puissent résister à une demande de la NSA est un leurre »), et la rapporteure Chatelain lie systématiquement l'outil aux positions politiques de son fondateur — le président Taché parlant de « manifeste techno-fasciste ». De l'autre, la dédramatisation opérationnelle : Dominique Luzeaux relativise l'enjeu à l'OTAN (usage réversible, homologué, sans exfiltration possible), Mathieu Weill rappelle que l'outil est hébergé en interne sans accès aux données, et Latombe révèle l'OTDH, alternative franco-française « ayant vocation à remplacer Palantir ».
ANSSI et cyberdéfense. Ce sujet établit le diagnostic partagé de vulnérabilité : fragilité de la supply chain (l'incident CrowdStrike de 2024 paralysant 8,5 millions d'ordinateurs revient en cas d'école) et dépendance assumée des acteurs français aux technologies américaines — Christel Heydemann reconnaît qu'Orange Cyberdefense s'appuie sur Palo Alto, Zscaler, Microsoft, Fortinet, SentinelOne. La souveraineté y est posée comme principe cardinal, définie par le général Boget comme le contrôle du « kill switch » par le seul État. Marie-Laure Denis (Cnil) apporte le chiffrage d'hygiène : 80 % des grandes violations de données étaient évitables par des mesures de base comme le MFA.
Concentration, monoculture et supply chain logicielle. Porté essentiellement par Vincent Strubel (ANSSI), ce sujet approfondit l'angle mort logiciel : la « monoculture » d'une solution dominante est « en soi un facteur de risque », et la traçabilité fait défaut (« nous disposons de davantage d'informations lorsque nous achetons une saucisse que lorsque nous acquérons un logiciel »). Strubel chiffre la « bataille perdue » des vulnérabilités (50 000 par an, +18 %/an) et plaide pour une consolidation coûteuse mais assumée de l'offre européenne, dans la neutralité de l'ANSSI.
IA de défense et sécurité. Trois angles convergents : l'IA outille l'attaquant humain sans conduire d'attaque autonome (Strubel), sa sécurité ne sait pas être certifiée (« leur certification n'est pas maîtrisée »), et le contrôle humain (HITL) fait consensus (Luzeaux). Le clivage porte sur le rôle éthique des industriels : Chatelain cite l'auto-limitation d'Anthropic quand Arthur Mensch (Mistral) revendique un devoir de conseil mais refuse toute légitimité à dicter l'usage aux armées.
Fuites, géolocalisation et menaces. Une audition (journalistes Untersinger et Bourdon) documente le risque concret : Charles-de-Gaulle localisé en 24 h, SNLE, Strava, assassinat plausible d'un officier via un profil public. Untersinger déplace la responsabilité de l'individu vers la puissance publique et l'écosystème régulatoire — c'est le désaccord structurant du sujet.
Les clivages majeurs. Trois lignes de fracture se dégagent. D'abord, souveraineté par la loi contre souveraineté par l'industrie : Strubel oppose la neutralité du régulateur (« la politique industrielle au service de la cybersécurité, non l'inverse ») à Heydemann, pour qui l'Europe « fragilise les acteurs qui financent les infrastructures dont [sa] souveraineté dépend » via le Cybersecurity Act. Ensuite, l'échelle du risque : alarme politique (Chatelain, Benhamou, Taché) contre dédramatisation technique (Luzeaux, Weill, et Mensch relativisant le « marketing de la peur »). Enfin, la charge de la protection : faille individuelle contre problème systémique, tranché par Untersinger en faveur de la responsabilité de l'État.
Sujets couverts
- Palantir : renseignement et systèmes classifiés — cas d'école de la dépendance, entre alarme politique (contrat DGSI « une erreur ») et dédramatisation opérationnelle (OTDH souverain en développement).
- ANSSI et cyberdéfense — diagnostic de vulnérabilité (CrowdStrike, dépendance aux technos américaines), souveraineté définie par le contrôle du kill switch, hygiène (80 % des fuites évitables).
- Concentration, monoculture et supply chain logicielle — la monoculture logicielle comme facteur de risque, bataille perdue des vulnérabilités (50 000/an), consolidation européenne coûteuse mais assumée (Strubel).
- IA de défense et sécurité — IA qui outille l'attaquant sans être certifiable, consensus sur le contrôle humain, clivage sur l'éthique des industriels (Anthropic vs Mistral).
- Fuites, géolocalisation et menaces — risque opérationnel avéré (Charles-de-Gaulle, SNLE, Strava), débat faille humaine vs problème systémique tranché en faveur de la puissance publique.