Les États-Unis ordonnent à toutes les agences civiles de retirer DeepSeek, y compris les outils qui en dérivent

Le Department of Homeland Security (DHS) a ordonné à l'ensemble des agences civiles de l'exécutif fédéral américain de retirer DeepSeek de leurs systèmes informatiques et de cesser de l'acheter, ainsi que tout produit tiers développé à partir de ses implémentations. L'ordre, numéroté 2026-01 et signé par le secrétaire à la Sécurité intérieure Markwayne Mullin, est daté du 24 juillet 2026. Il n'a été rendu public que cette semaine. Son avis doit paraître au Federal Register le mardi 20 octobre, sous la référence DHS-2026-0628.

Le texte repose sur une loi de 2018 relative à la sécurité de la chaîne d'approvisionnement, qui permet au DHS d'interdire l'usage de technologies jugées risquées dans les systèmes gouvernementaux. Il comporte deux volets. D'une part, les agences doivent exclure avec effet immédiat Hangzhou DeepSeek Artificial Intelligence, ses affiliés et leurs produits de toute procédure d'achat, y compris les catalogues de produits approuvés et les places de marché en ligne. D'autre part, elles doivent retirer immédiatement de leurs systèmes informatiques les produits de DeepSeek et de ses affiliés, ainsi que « les produits et services tiers développés à partir des implémentations de DeepSeek ».

Ce second volet constitue le point le plus large du texte. Les modèles de DeepSeek sont publiés en open weights, si bien qu'ils se retrouvent intégrés dans des outils d'autres entreprises, en plus de l'application et du site propres à DeepSeek. L'ordre ne dresse pas la liste des produits concernés et ne précise pas le traitement réservé à un modèle DeepSeek exécuté sur les serveurs d'une entreprise américaine. Cette lacune fera vraisemblablement l'objet de questions de la part des fournisseurs.

Le champ d'application exclut les systèmes de sécurité nationale et les systèmes d'information compartimentés, qui relèvent du Pentagone et du Directeur du renseignement national. Le texte ne concerne donc que les agences civiles.

Pour justifier la mesure, l'ordre invoque plusieurs vecteurs de menace. Il souligne que les serveurs de DeepSeek se trouvent en Chine et que le droit chinois confère de larges pouvoirs aux fonctions gouvernementales de cyber-renseignement pour accéder aux infrastructures des entreprises privées. Il relève aussi que l'inscription aux services collecte des données personnelles et peut permettre de suivre et d'identifier numériquement les utilisateurs, et que des informations sensibles saisies par des agents ou des contractants américains pourraient ainsi atteindre la Chine. Le texte avance enfin que les modèles pourraient contenir des logiciels malveillants ou des failles de sécurité, en citant un audit de NowSecure de février 2025 qui avait relevé plusieurs failles critiques dans l'application iPhone de DeepSeek.

Les éléments à l'appui reposent sur des sources publiques : la politique de confidentialité de DeepSeek, un avisage commercial du DHS de 2020 sur les risques liés aux données chinoises et un rapport de la commission spéciale de la Chambre sur la Chine d'avril 2025. L'ordre ne décrit cependant aucun cas avéré de données gouvernementales transmises à DeepSeek.

Les agences qui ne peuvent se conformer à l'ordre peuvent demander une dérogation, portant sur son application, sur certaines actions ou sur un report. La demande doit être formulée par écrit dans les 60 jours suivant l'émission de l'ordre et s'appuyer sur une « justification impérieuse », par exemple l'effet sur des missions critiques, ainsi que sur les garanties alternatives envisagées. La Cybersecurity and Infrastructure Security Agency (CISA) instruit ces demandes et répond par écrit. En attendant la suppression des produits DeepSeek, les agences doivent surveiller les flux entrants et sortants de leurs réseaux, renforcer la journalisation, mettre en place des contrôles contre les fuites de données et signaler toute anomalie. La CISA peut aider les agences qui manquent de compétences pour appliquer le texte, et le secrétaire doit réexaminer l'ordre au bout d'un an, puis chaque année.

Plusieurs administrations américaines avaient déjà bloqué DeepSeek sur leurs propres équipements, notamment le département du Commerce et la Marine, ainsi que les États de New York, du Tennessee et de Virginie, selon Reuters. À l'étranger, l'autorité italienne de protection des données avait bloqué l'application début 2025, et Taïwan, la Corée du Sud et l'Australie l'ont interdite sur les appareils publics. L'ordre du DHS va plus loin en couvrant l'ensemble des agences civiles et tous leurs achats. DeepSeek n'a pas réagi, et l'ambassade de Chine à Washington n'a pas immédiatement commenté, selon Reuters.

La mesure intervient alors que Pékin renforce son propre contrôle du secteur : la Chine souhaite désormais encadrer les exportations de ses plus grands modèles d'IA, et DeepSeek entraîne son prochain modèle sur des puces chinoises. Pour le marché américain, la portée de l'ordre tient surtout à son extension aux outils tiers. Les fournisseurs qui vendent de l'IA aux agences fédérales devront désormais connaître les modèles qui se trouvent à l'intérieur de leurs produits. Les modèles ouverts chinois figurent parmi les plus téléchargés au monde, alors que peu d'entre eux publient des résultats de sécurité au lancement, si bien que d'autres acheteurs pourraient poser les mêmes questions.