En décembre 2025, un rapport historique du netzpolitik.org et des journalistes d'investigation à République a révélé l'aboutissement de sept années d'efforts de lobbying de la part de Palantir Technologies en Suisse. Malgré une cour agressive auprès des agences fédérales suisses et de l'armée, le verdict a été un rejet définitif.
Le rejet n'était pas fondé sur un manque de prouesses techniques, mais sur des risques architecturaux irréductibles pour la souveraineté nationale. Pour la communauté mondiale de la conformité, la décision suisse sert de "test de résistance" sur la façon dont nous évaluons les risques pour les tiers à l'ère des lois extraterritoriales sur les données.
Le "coup de semonce" de 20 pages
Selon Constanze Kurz, l'évaluation interne de l'armée suisse a conclu que les risques liés à l'intégration de Palantir l'emportaient sur les avantages. L'essentiel de l'évaluation des risques, qui compte 20 pages, est centré sur le confinement des données :
- Le mythe de la fuite technique : Bien que Palantir affirme souvent que ses clients conservent un "contrôle total", les experts suisses ont conclu qu'une fuite de données vers les agences de renseignement américaines ne pouvait être techniquement exclue.
- La loi CLOUD et l'extraterritorialité : Le rapport mentionne explicitement le risque que des données militaires sensibles puissent être consultées par le gouvernement américain en vertu du droit américain, indépendamment de l'emplacement physique du serveur en Suisse.
- Architectural, non opérationnel : L'armée suisse a déterminé que la limitation est intégrée dans l'architecture du logiciel, ce qui signifie qu'aucune "politique d'utilisation" ou "clause contractuelle" ne peut totalement bloquer le potentiel d'accès étranger.
La dépendance : L'échec de la "stratégie de crise
La continuité des activités est un pilier essentiel de la conformité en matière de cybersécurité. Le rapport suisse a mis en évidence un scénario terrifiant pour un pays neutre :
Dépendance à l'égard de l'expertise étrangère : La complexité du logiciel exigerait que les spécialistes de Palantir soient présents en permanence sur le site. L'armée suisse considérait cela comme un point de défaillance critique ; en cas de crise, une entreprise étrangère pourrait effectivement prendre en "otage" les renseignements du pays en retirant son soutien ou ses mises à jour.
Conformité financière : Le risque d'une tarification opaque
Au-delà de la sécurité, le rapport a mis en évidence des "signaux d'alerte" concernant la passation des marchés et la gouvernance fiscale :
- Prix fictifs : L'enquête a relevé des "coûts imprévisibles" et des modèles de tarification opaques.
- Verrouillage des fournisseurs : L'équipe chargée de la conformité a averti qu'une fois les données intégrées dans l'écosystème propriétaire de Palantir, le coût de la migration (la "stratégie de sortie") devient prohibitif, violant ainsi les principes de l'approvisionnement agile et responsable.
Les avantages de la conformité pour le secteur privé
Que signifie le "rejet suisse" pour les Chief Risk Officers (CRO) du secteur privé ?
- Diligence technique et promesses contractuelles : La conformité ne peut plus s'appuyer sur les "assurances juridiques" des fournisseurs américains. Si le logiciel est une "boîte noire", c'est une obligation de conformité en vertu du GDPR/EU AI Act.
- L'exigence d'une "solution souveraine" : Le marché des "piles souveraines", c'est-à-dire des logiciels construits sur des bases ouvertes qui peuvent être entièrement contrôlés et exploités sans portes dérobées étrangères, est en plein essor.
- Risque de tiers (TPRM) : Les organisations doivent évaluer si leurs partenaires en matière d'analyse de données sont susceptibles de déclencher des "lois sur les mercenaires" ou des sanctions internationales, comme c'est actuellement le cas pour le ministère suisse des affaires étrangères.
Conclusion : La fin de l'ère de la "boîte noire
Comme l'a fait remarquer Constanze Kurz, la décision suisse recadre le débat : sans souveraineté technique, les garanties juridiques sont une illusion. Si une nation aussi soucieuse de la sécurité que la Suisse juge une plateforme de $100 milliards "trop risquée", toute entreprise gérant des données sensibles doit se poser la question : Notre pile actuelle est-elle vraiment sous notre contrôle ?
- Nous pouvons vous aider à vous mettre en conformité avec le FADP !
Des conseils d'experts, des solutions abordables et une démarche claire vers la conformité
