Anthropic perd face au Pentagone : aligner Claude, c'est le « manipuler »

Deux lignes rouges et un ultimatum

Tout commence en 2024, quand le Pentagone et le renseignement utilisent Claude via des sous-traitants sur leurs systèmes classifiés. Le modèle commercial refuse alors des tâches légitimes : résumer des évaluations de menaces, traiter des documents classifiés, traduire des interceptions décrivant des violences.

Anthropic répond avec Claude Gov, lancé en mars 2025, et un avenant contractuel propre au gouvernement. En juillet 2025, l'entreprise fait partie d'un contrat IA de 200 millions de dollars. Elle finit par autoriser la conception d'armes, l'analyse du renseignement étranger et les opérations cyber offensives, mais conserve deux interdits : la guerre autonome létale et la surveillance de masse des Américains.

Le 9 janvier 2026, Pete Hegseth publie une stratégie « AI-first » qui exige des modèles « libres de contraintes de politique d'usage » et une clause « any lawful use ». Au même moment, un dirigeant d'Anthropic s'interroge sur l'usage de Claude dans une opération militaire à l'étranger, que des articles de presse versés au dossier relient à la capture de Nicolás Maduro le 3 janvier. S'y ajoute un refus de Claude face à des requêtes du CDC sur la prévention des maladies infectieuses.

Le 24 février, Hegseth reçoit Dario Amodei et fixe un ultimatum au 27. Le 26, Amodei refuse publiquement tout en promettant une « transition en douceur ». Le 27, Trump et Hegseth dénoncent Anthropic sur les réseaux sociaux ; la désignation formelle tombe le 3 mars, et le Pentagone se tourne vers OpenAI.

Le cœur du jugement : manipuler sans malveillance

La loi définit le « supply chain risk » comme le risque qu'une personne puisse « saboter, introduire malicieusement une fonction indésirable, extraire des données ou autrement manipuler » un produit informatique afin de « surveiller, refuser, perturber ou autrement manipuler » son fonctionnement.

Anthropic plaidait que ce vocabulaire suppose une intention hostile. Le juge Gregory Katsas s'en tient au sens ordinaire : manipuler, c'est « arranger, faire fonctionner ou contrôler avec habileté ». Selon lui, il existe non pas un risque mais une « certitude » qu'Anthropic configure Claude pour lui refuser la fonction de guerre autonome ou de surveillance de masse.

La majorité reconnaît les « nobles intentions » d'Anthropic, qu'il s'agisse de vie privée ou de sûreté de l'IA, mais les juge sans pertinence. Elle ajoute qu'une loi de sécurité nationale sur les achats publics, sans responsabilité pénale ni civile, s'interprète en faveur de l'exécutif en cas d'ambiguïté.

Le contraste avec la Californie est central. Le 27 août 2026, un tribunal fédéral y avait annulé la désignation fondée sur 10 U.S.C. § 3252, dont la définition vise un « adversaire » et une « subversion ». La cour d'appel ne conteste ni cette lecture ni l'absence de mauvaise foi d'Anthropic, mais juge que la loi de 2018 est bien plus large.

Pourquoi l'absence de kill switch ne suffit pas

Anthropic affirmait ne pouvoir ni accéder à un modèle livré sur les systèmes classifiés, ni le modifier, ni l'éteindre. Le Pentagone pourrait donc tester chaque nouvelle version et conserver l'ancienne si elle ne convient pas.

La cour écarte l'argument. Les restrictions contestées ne « se définissent pas d'elles-mêmes » : il existe mille degrés d'implication humaine dans une décision de ciblage. Le sous-secrétaire Emil Michael souligne l'opacité de modèles comptant selon lui « 5 à 10 trillions » de paramètres, ce qui rendrait tout audit rigoureux « mathématiquement impossible ». Anthropic reconnaît elle-même que Claude peut répondre différemment selon la formulation d'une requête.

Refuser les mises à jour n'est pas une option non plus, selon les juges. Anthropic a livré trois versions de Claude Gov en 2025, et Amodei lui-même évoque des essaims de drones autonomes formant une « armée imbattable ». Le Pentagone ne peut pas utiliser des IA « figées dans l'ambre », tranche la cour.

Urgence, procédure et Premier amendement

Sur les mesures moins intrusives, Anthropic dénonçait un stigmate réputationnel. La cour en doute en citant le Wall Street Journal, selon lequel l'entreprise a reçu des offres d'investissement la valorisant à plus de 900 milliards de dollars. L'idée de restreindre l'exclusion aux seuls systèmes sensibles est jugée insuffisamment défendue, et impraticable pour un modèle intégré à d'autres applications.

Sur l'urgence, la cour ne tranche pas le fond et applique la règle de l'erreur inoffensive. Anthropic a pu répondre dès le 19 mars et sa demande de réexamen a été rejetée le 3 juin : un préavis plus précoce n'aurait rien changé. La procédure a posteriori suffit aussi au regard du due process, d'autant que des frappes contre l'Iran, utilisant Claude selon le WSJ, ont commencé deux jours après le refus d'Anthropic.

Sur la liberté d'expression, la cour admet que le plaidoyer d'Anthropic pour une IA sûre est protégé et que l'exclusion est une sanction réelle. Elle ne voit en revanche aucun lien de causalité : le Pentagone a travaillé avec Anthropic pendant des années malgré ce discours. Les formules de Hegseth sur la « rhétorique moralisatrice » et le « virtue-signaling » ne changent rien, car le fond du différend reste le refus d'un « droit de veto » sur les décisions militaires.

La dissidence Henderson : un blanc-seing inquiétant

La juge Karen LeCraft Henderson retient le sens étroit de « manipuler » : influencer de manière « subtile, sournoise ou déloyale ». Elle invoque les canons noscitur a sociis et ejusdem generis : un mot se comprend par ceux qui l'entourent, et « saboter » ou « introduire malicieusement » colorent tout le reste de la liste.

Elle illustre avec un règlement de bibliothèque imaginaire : « ne pas crier, téléphoner bruyamment, écouter de la musique ou autrement déranger ». Personne n'y verrait une interdiction d'écouter de la musique au casque. La majorité répond que cet exemple fonctionne pour une autre raison et que l'adverbe « malicieusement » ne modifie que le verbe qui le suit.

Son argument le plus fort porte sur les conséquences. Avec la lecture retenue, n'importe quel fournisseur qui applique honnêtement et ouvertement des restrictions déjà acceptées par l'État devient une menace potentielle. Son successeur aurait le même choix : céder, ou être désigné risque de sécurité nationale. Elle rappelle enfin que la loi visait, selon ses travaux préparatoires, les États hostiles et les entreprises « redevables à des gouvernements étrangers ».

Le dernier mot à l'exécutif

La conclusion de la majorité reconnaît la difficulté. D'un côté, des modèles trop bridés qui cesseraient de fonctionner en pleine opération. De l'autre, des modèles sans garde-fous qui « halluci­neraient » des cibles pour une frappe létale.

Les deux risques relèvent de la sécurité nationale, estime la cour. Mais « dans notre République », c'est au président et au secrétaire à la Guerre d'arbitrer entre eux. Les recours sont rejetés.