Chat Control et Palantir : ce que deviennent vraiment les contenus signalés dans les messageries des Européens

Depuis le 13 octobre 2026, un message circule sur les réseaux sociaux : des conversations privées scannées dans le cadre de Chat Control 1.0 « se retrouvent dans des systèmes Palantir », qu’il s’agisse des messages directs d’Instagram, de TikTok, de Discord, de Snapchat, de Skype et de la Xbox ou des courriels Gmail. Il s’appuie sur une enquête du journaliste Arvid Grange, publiée le même jour par le quotidien suédois Dagens ETC puis reprise en anglais sur sa lettre Substack, qui établit un fait précis : le NCMEC, l’organisation américaine qui reçoit les signalements de contenus d’abus sexuels sur mineurs détectés par les plateformes, traite l’ensemble de ces signalements avec Foundry, le logiciel d’analyse de données de Palantir.

Le fait est solide, et il concerne bien des données d’Européens. La version qui circule en tire pourtant plusieurs conclusions que les sources ne soutiennent pas, à commencer par l’idée que ce serait la loi européenne qui envoie ces données chez Palantir. Nous avons repris les textes et les chiffres disponibles au 15 octobre (loi fédérale américaine, règlement (UE) 2026/1881, rapport de la Commission de novembre 2025, publications et témoignages du NCMEC, note du service de recherche du Parlement européen, étude universitaire sur la fiabilité des outils de détection) pour reconstituer le circuit réel d’un contenu signalé, distinguer ce qui est établi de ce qui est extrapolé, et isoler les questions qui méritent d’être posées.

Le fonctionnement du scan et le vote de juillet 2026 qui l’a prolongé jusqu’en avril 2028 sont détaillés dans notre article sur la prolongation de Chat Control ; celui-ci commence au moment où un contenu est signalé.

L’essentiel

• Établi : le NCMEC traite tous les signalements de sa CyberTipline avec Foundry, logiciel que Palantir lui a donné en 2021, et près d’un million de ces signalements concernaient l’Union en 2024.
• Exagéré : partent aux États-Unis les contenus signalés, avec parfois le message qui les accompagnait, et ce circuit découle de la loi américaine plutôt que de Chat Control.
• Invérifiable en l’état : l’absence d’accès de Palantir aux données repose sur la seule parole du NCMEC.
• En question : la légalité de transferts vers une association absente de la liste du Data Privacy Framework, et la fiabilité des signalements, dont moins de la moitié ont été jugés pénalement pertinents par la police allemande en 2023.

Du message scanné au signalement : le circuit réel

Une détection autorisée par le droit européen

Le règlement (UE) 2026/1881, publié au Journal officiel le 28 juillet 2026 et applicable jusqu’au 3 avril 2028, rétablit la dérogation à la directive ePrivacy qui avait expiré le 3 avril. Il permet aux fournisseurs de messageries et de webmails de scanner les communications de leurs utilisateurs pour y détecter des contenus pédocriminels, sans les y obliger. Le texte exclut de son champ les communications chiffrées de bout en bout et les communications audio (article 1er), et impose qu’un contenu qui n’a encore jamais été identifié comme pédocriminel ne soit signalé qu’après confirmation humaine (article 3).

Le règlement ne dit rien, en revanche, de la destination des signalements. Son considérant 7 évoque des organisations situées dans l’Union ou dans des pays tiers, en précisant qu’elles pourraient ne pas relever du champ d’application du RGPD, et son considérant 35 laisse aux fournisseurs la responsabilité d’encadrer les transferts de données hors de l’Union.

Un signalement imposé par le droit américain

C’est le droit américain qui fixe la destination. L’article 2258A du titre 18 du Code des États-Unis oblige tout fournisseur qui a connaissance d’un contenu d’abus sexuel sur mineur à le signaler « dès que raisonnablement possible » à la CyberTipline, le guichet de signalement du NCMEC. Le même article précise qu’il n’impose à aucun fournisseur de surveiller ses utilisateurs ni de scanner leurs communications : la loi américaine rend obligatoire le signalement de ce qui a été détecté, et laisse la détection elle-même au choix de l’entreprise.

Le contenu d’un signalement est laissé à l’appréciation du fournisseur, mais la loi en dresse la liste possible :

• l’identité apparente de l’utilisateur, avec son adresse électronique, son adresse IP ou tout autre identifiant ;
• la date, l’heure et la manière dont le contenu a été envoyé, reçu ou découvert ;
• des éléments de localisation ;
• les images ou vidéos en cause ;
• la communication complète qui les contenait, avec ses données de transmission et ses pièces jointes.

Le NCMEC examine ensuite ces signalements et les met à la disposition des autorités compétentes, aux États-Unis ou à l’étranger, notamment des polices qui travaillent avec le FBI ou Interpol. Le fournisseur, de son côté, doit conserver le contenu signalé pendant un an.

Les volumes qui concernent l’Europe

Le rapport de la Commission sur la mise en œuvre du règlement, publié le 27 novembre 2025, constate que tous les fournisseurs qui lui rendent compte signalent au NCMEC. Il reprend aussi les chiffres de l’organisation américaine : après déduplication, le NCMEC a transmis aux États membres 1 503 431 signalements en 2022, 1 343 857 en 2023 et 950 817 en 2024. Pour 2024, il en a adressé 150 684 à la France (les autorités françaises déclarent en avoir reçu 158 503) et 197 201 à l’Allemagne.

Ces chiffres ne distinguent pas les messageries privées des autres services, comme les publications d’un réseau social ou les fichiers stockés en ligne. La baisse de 2024, que l’on retrouve à l’échelle mondiale avec 35,93 millions de signalements en 2023 et 19,85 millions en 2024, est attribuée en partie par le NCMEC au passage de messageries au chiffrement de bout en bout, qui rend le scan impossible.

Palantir chez le NCMEC : ce qui est établi

La présence de Palantir dans le dispositif n’est pas une découverte. En décembre 2021, un billet du NCMEC présentait l’entreprise comme son partenaire d’exploration et d’analyse de données, chargé d’aider à repérer les dossiers urgents et à interroger rapidement la masse d’informations accumulée. En octobre 2022, l’organisation lui remettait un prix en expliquant que Foundry avait « révolutionné » les capacités de sa base de données. Dans un témoignage écrit déposé le 10 décembre 2025 devant une sous-commission de la Chambre des représentants, Melissa Snow, directrice des programmes du NCMEC contre la traite des enfants à des fins sexuelles, précise que Palantir soutient l’organisation depuis plus de quinze ans et lui a donné Foundry en 2021, un outil qui sert à gérer, analyser et rendre exploitables ses données.

La note que le service de recherche du Parlement européen (EPRS) a consacrée en novembre 2023 aux parties prenantes du projet Chat Control 2.0, à la demande de la commission LIBE qui souhaitait précisément connaître le rôle de Palantir, mentionnait déjà ce soutien au NCMEC. Elle concluait aussi que Palantir n’avait eu aucune réunion bilatérale avec la Commission, n’avait pas répondu à la consultation publique et ne figurait pas au registre de transparence de l’Union, ce qui ne permet pas de soutenir que l’entreprise aurait pesé sur l’écriture du texte.

L’apport de l’enquête de Dagens ETC tient donc en une confirmation. Selon l’article, le vice-président du NCMEC, John Shehan, a répondu par écrit que l’organisation utilise Foundry pour l’ensemble des signalements de la CyberTipline, en ajoutant que le logiciel a été donné, qu’il fonctionne en local dans l’environnement du NCMEC et que Palantir n’a pas accès aux données. Le NCMEC ignore par ailleurs combien de ses signalements proviennent de scans effectués dans l’Union, les plateformes ne lui indiquant ni où ni comment elles les collectent. L’article original étant réservé aux abonnés, cette réponse est citée ici d’après la version que l’auteur a publiée sur Substack.

Ce que la version virale dit de trop

Des conversations aux contenus signalés

Le scan ne fait pas basculer des conversations entières dans les systèmes du NCMEC : seuls les contenus qui déclenchent une détection, puis franchissent la vérification prévue, donnent lieu à un signalement. Les ordres de grandeur en témoignent, puisque Microsoft indique à la Commission avoir analysé 9,6 milliards de contenus dans le monde en 2024 et en avoir identifié un peu plus de 26 000 comme pédocriminels, dont plus de 5 800 liés à l’Union ; Meta déclare 1,5 million de contenus concernant des utilisateurs européens la même année.

Le mot « chats » n’est pas pour autant entièrement faux, puisque la loi américaine permet au fournisseur de joindre au signalement la communication complète qui contenait l’image. Pour la personne signalée, ce qui part aux États-Unis peut donc dépasser le seul fichier en cause et inclure le message qui l’accompagnait, son identifiant et son adresse IP. C’est aussi ce qui donne leur poids aux questions de fiabilité abordées plus bas.

L’accès de Palantir aux données

L’idée que Palantir n’a pas accès aux données repose sur la seule parole du NCMEC, puisque l’entreprise n’a pas répondu à Dagens ETC. Elle est plausible sur le plan technique, dès lors que Foundry fonctionne, selon le NCMEC, dans son propre environnement plutôt que sur une infrastructure de Palantir. Elle ne clôt pas la question pour autant, car le NCMEC met lui-même en avant le travail d’une équipe d’ingénieurs de Palantir à ses côtés : le prix de 2022 a été remis à l’ingénieure qui dirige les travaux de l’entreprise consacrés à la lutte contre l’exploitation des enfants. Entre « Palantir lit vos messages » et « Palantir ne voit rien », les sources publiques ne permettent pas de trancher, et seul un audit indépendant du déploiement le pourrait.

La liste des plateformes

Le message viral cite Instagram, TikTok, Discord, Snapchat, Skype, la Xbox et Gmail, alors que les sources dessinent une carte plus nuancée. Seuls cinq fournisseurs ont adressé à la Commission, pour 2023 et 2024, les rapports que le règlement exige de ceux qui s’appuient sur la dérogation : Google, LinkedIn, Meta, Microsoft et Yubo. Le 4 avril 2026, au lendemain de l’expiration du texte, Google, Meta, Microsoft et Snap ont annoncé ensemble qu’ils poursuivraient leurs actions volontaires, bien que Snap ne figure pas parmi les fournisseurs qui rendent compte à la Commission. Quant à Skype, Microsoft l’a fermé en mai 2025.

TikTok et Discord n’apparaissent pas comme fournisseurs déclarés au titre de la dérogation, mais ils signalent bien au NCMEC, comme toute plateforme qui opère aux États-Unis. Le détail que la Tchéquie a transmis à la Commission pour 2024 recense 57 services à l’origine des signalements qu’elle a reçus, dont Instagram (11 857), Facebook (4 461), Snapchat (3 610), Discord (1 510), TikTok (825) et WhatsApp (620). La présence de WhatsApp, chiffré de bout en bout, montre que ces signalements ne viennent pas tous du scan de messages privés : ils peuvent aussi porter sur des publications, des fichiers hébergés ou des éléments non chiffrés. La liste du message viral décrit donc correctement l’exposition au NCMEC, mais l’attribue à tort à la loi européenne.

Une causalité inversée

C’est le point le plus trompeur de la version virale, car le circuit qui mène à Foundry ne naît pas de Chat Control : il découle de la loi américaine, qui oblige les plateformes à signaler au NCMEC ce qu’elles détectent, quel que soit le pays de l’utilisateur. Le règlement européen se borne à lever, pour les communications des Européens, l’obstacle que la directive ePrivacy opposait au scan. Sans lui, les signalements issus des contenus publics, des services hébergés ou des utilisateurs d’autres pays continueraient d’alimenter le même outil, et les principales entreprises concernées avaient d’ailleurs annoncé en avril 2026 qu’elles poursuivraient leurs efforts malgré l’expiration du texte.

La critique pertinente se situe ailleurs : en autorisant le scan des communications européennes, l’Union alimente en connaissance de cause un circuit qu’elle ne contrôle pas, puisque son propre règlement reconnaît que les organisations destinataires peuvent se trouver hors de l’Union et hors du RGPD. Que des eurodéputés interrogés par Dagens ETC aient ignoré l’outil utilisé au bout de la chaîne renseigne surtout sur l’opacité de cette chaîne.

Les vraies questions

La légalité du transfert vers une association américaine

Un signalement constitue un transfert de données personnelles hors de l’Union, et de données particulièrement sensibles, puisqu’il associe un contenu à une identité et à une suspicion d’infraction. Le règlement (UE) 2026/1881 précise qu’il ne fournit pas de base légale à ce traitement (considérant 14) et renvoie les fournisseurs, pour les transferts, au chapitre V du RGPD (considérant 35). Selon le rapport de la Commission, tous s’appuient sur les clauses contractuelles types adoptées par la Commission, et Google, Microsoft, LinkedIn et Yubo invoquent aussi le Data Privacy Framework, le cadre d’adéquation adopté en juillet 2023 qui permet aux organisations américaines certifiées de recevoir des données d’Européens.

Le NCMEC ne figure pas sur la liste de ce cadre, et il ne pourrait sans doute pas y figurer : l’adhésion suppose d’être soumis aux pouvoirs de la Federal Trade Commission, qui a rappelé à la Commission européenne, en juin 2023, qu’elle n’est pas compétente pour la plupart des organisations à but non lucratif. Restent les clauses contractuelles, dont l’arrêt Schrems II impose de vérifier qu’elles garantissent, dans le pays de destination, une protection équivalente à celle de l’Union. Or le destinataire est ici une association dont la mission légale consiste précisément à transmettre les données à des autorités policières, américaines comme étrangères, et dont la politique de confidentialité, selon l’enquête, prévoit de conserver les données aussi longtemps que nécessaire, sans durée maximale. La juriste Laura Drechsler, spécialiste du droit européen des données interrogée par Dagens ETC, estime qu’il est difficile de soutenir pleinement la légalité de ces transferts. Le rapport de la Commission relève de son côté qu’aucun fournisseur n’a indiqué s’il avait mené l’analyse d’impact préalable qu’exige le RGPD pour ce type de traitement.

La fiabilité des signalements

La seconde question porte sur la qualité de ce qui part aux États-Unis. La Commission cite depuis 2023 un taux de faux positifs « d’au plus 1 sur 50 milliards » pour PhotoDNA, l’outil de comparaison d’empreintes de Microsoft le plus utilisé. Ce chiffre provient d’un témoignage de son co-concepteur, Hany Farid, devant le Congrès américain en 2019, sans méthodologie publiée. Une étude de Diane Leblanc-Albarel et Bart Preneel (KU Leuven), à paraître dans les actes de la conférence USENIX Security 2026, l’a mis à l’épreuve sur un jeu de 202 599 photos de visages de célébrités : PhotoDNA y produit des quasi-collisions entre images différentes à des taux de 0,001 % à 0,03 % selon le seuil retenu, et, selon le jeu de données et l’échelle considérée, les auteurs relèvent pour les deux fonctions étudiées (PhotoDNA et NeuralHash d’Apple) des taux compris entre un sur mille et plus d’un sur dix.

Ce protocole diffère d’un déploiement réel, où une correspondance doit viser une base de contenus vérifiés et passe le plus souvent par une revue humaine, mais il confirme que le chiffre officiel ne repose sur aucune évaluation indépendante publiée et qu’il ne résiste pas à ce type de test. Bart Preneel soupçonne, sans l’avoir mesuré dans ce cadre, que les photos de visages, y compris celles que des parents prennent de leurs enfants, et les images intimes échangées entre adultes consentants ont plus de chances d’être signalées que des paysages. Les ratios déclarés par les plateformes dans le rapport de 2025 ne permettent pas d’y voir plus clair, car chacune les calcule à sa façon : 0,54 % de contenus signalés automatiquement puis écartés par un humain chez Google, 0,12 % de contenus rétablis après recours chez Meta, 13 % d’alertes de sollicitation d’enfants restées sans suite chez Yubo, et aucun chiffre chez Microsoft, faute de données suffisantes selon l’entreprise.

Les statistiques policières allemandes offrent une autre mesure. Selon les réponses du gouvernement fédéral publiées par netzpolitik.org en juin 2024, l’office fédéral de police criminelle (BKA) a reçu du NCMEC 136 437 signalements visant des suspects en Allemagne en 2022, dont 89 844 jugés pertinents au regard du droit pénal allemand, puis 180 287 en 2023, dont 89 336 seulement : la part exploitable est passée d’environ deux tiers à moins de la moitié. En 2024, l’Allemagne a déclaré en avoir reçu 205 728. Un signalement non pertinent sur le plan pénal n’est pas nécessairement une erreur de l’outil de détection, et le ministère fédéral de l’Intérieur indiquait ne disposer d’aucune donnée sur les raisons de cette évolution ; les autorités suédoises rappellent, dans le rapport de la Commission, qu’un même utilisateur peut faire l’objet de plusieurs signalements et que tous ne correspondent pas à une infraction en droit suédois. Chaque signalement écarté représente néanmoins des données personnelles qui ont traversé l’Atlantique et transité par Foundry avant de revenir vers une police nationale.

Une souveraineté déléguée

La dernière question est politique, puisque pour la plus grande part des signalements qui fondent les enquêtes européennes sur les abus sexuels en ligne, le tri, la priorisation et l’enrichissement des dossiers sont assurés par une association américaine, avec un logiciel américain, selon des règles de conservation et de transmission fixées par le droit américain. La plupart des États membres déclarent recevoir l’essentiel de leurs signalements du NCMEC, et la Commission constate elle-même que leurs statistiques sont trop lacunaires pour dresser un bilan fiable du dispositif. Le schéma rappelle celui que nous décrivions à propos du CLOUD Act : des données européennes placées, par le jeu d’acteurs américains, sous un droit sur lequel l’Union n’a pas prise.

Le projet de règlement CSAR, dit Chat Control 2.0, prévoit un centre de l’Union chargé de vérifier les signalements avant leur transmission aux polices, que la Commission présente comme une réponse aux faiblesses du régime actuel. La prochaine grande session de négociation, que Dagens ETC annonce pour novembre, dira si ce volet survit aux désaccords sur le chiffrement qui bloquent le texte depuis 2022.

Actions concrètes pour les DPO, RSSI et responsables conformité

Pour les organisations qui utilisent ces services :

• Intégrer ce flux à la cartographie des transferts : un contenu détecté sur un service grand public américain peut partir, avec l’identifiant et l’adresse IP de l’expéditeur, vers une association américaine, ce qui renforce l’intérêt de cantonner les échanges professionnels aux outils sous contrat.
• Réserver les échanges sensibles aux services chiffrés de bout en bout, que l’article 1er du règlement exclut explicitement de la dérogation.
• Informer les collaborateurs que les photos échangées depuis un compte personnel, photos de famille comprises, passent par ces outils de détection dont la fiabilité réelle n’a pas été établie de façon indépendante.

Pour les fournisseurs européens qui s’appuient sur la dérogation :

• Documenter chaque destinataire des signalements au titre du chapitre V du RGPD : instrument de transfert, évaluation du droit du pays de destination, durée de conservation et retransmission par l’organisme destinataire.
• Conduire et conserver l’analyse d’impact relative à la protection des données, dont le rapport de la Commission constate l’absence dans les déclarations des fournisseurs.
• Examiner les destinataires européens disponibles, comme la plateforme PHAROS en France, à laquelle Yubo transmet déjà ses signalements en plus du NCMEC.
• Préparer le rapport exigé par le règlement, à remettre à l’autorité de contrôle et à la Commission dans les six mois suivant son entrée en vigueur, puis chaque 31 janvier, en y indiquant le nom des organisations destinataires.

Pour suivre le dossier : la négociation du CSAR, et en particulier le sort du centre de l’Union, déterminera si les signalements visant des Européens continueront de passer d’abord par les États-Unis.

Les ressorts juridiques de ces transferts, de l’arrêt Schrems II aux clauses contractuelles, sont détaillés dans notre article sur les conséquences de Schrems II, et l’ensemble des analyses de la rubrique est réuni dans Souveraineté numérique.

Sources et références 14 sources

Enquête à l'origine de l'affirmation

1. [1] Dagens ETC : Meta granskar dina privata chattar, med hjälp av Palantir (Arvid Grange, 13 octobre 2026, article réservé aux abonnés)
2. [2] Arvid Grange : Investigation, EU citizens' private messages are run through Palantir's software (Substack, 13 octobre 2026)

Textes et rapports officiels

1. [3] Règlement (UE) 2026/1881 du 24 juillet 2026 portant dérogation temporaire à la directive 2002/58/CE (EUR-Lex)
2. [4] Commission européenne : rapport sur la mise en œuvre du règlement (UE) 2021/1232, COM(2025) 740 du 27 novembre 2025 (EUR-Lex)
3. [5] 18 U.S. Code § 2258A, obligations de signalement des fournisseurs (Legal Information Institute, Cornell Law School)
4. [6] EPRS : Commission proposal on preventing and combating child sexual abuse, the Commission's engagement with stakeholders (PE 753.179, novembre 2023)

NCMEC et Palantir

1. [7] NCMEC : 100,000,000, the race to save children behind the staggering number (1er décembre 2021)
2. [8] NCMEC : NCMEC celebrates hope and the people behind it (21 octobre 2022)
3. [9] Témoignage écrit de Melissa Snow (NCMEC) devant la commission de contrôle de la Chambre des représentants (10 décembre 2025)

Plateformes, transferts et fiabilité

1. [10] Google : Reaffirming our commitment to child safety (4 avril 2026)
2. [11] Federal Trade Commission : lettre au commissaire Didier Reynders sur le Data Privacy Framework (9 juin 2023)
3. [12] Data Privacy Framework : liste des organisations certifiées
4. [13] Leblanc-Albarel et Preneel : Breaking Widely Deployed Perceptual Hash Functions, Black-Box Collisions in Apple NeuralHash and Microsoft PhotoDNA (USENIX Security 2026)
5. [14] netzpolitik.org : Chatkontrolle, Zahl der falschen Verdächtigungen stark gestiegen (Chris Köver, 18 juin 2024)