Washington chasse de ses administrations civiles l'IA chinoise DeepSeek et les logiciels qui l'intègrent

Signé le 24 juillet, l'ordre est resté confidentiel près de trois mois. Le ministère américain de la Sécurité intérieure (DHS) l'a déposé le 19 octobre au Federal Register, le journal officiel fédéral, qui le publie ce mardi 20 octobre. Son objet : sortir l'entreprise chinoise d'IA DeepSeek de toute l'administration civile fédérale.

Le texte, signé par le secrétaire à la Sécurité intérieure Markwayne Mullin, s'appuie sur une loi de 2018 consacrée à la sécurité de la chaîne d'approvisionnement des achats fédéraux. Il impose deux obligations aux agences civiles :

• ne plus acheter de produits de DeepSeek ou de ses entités affiliées, avec effet immédiat, y compris via les catalogues de produits approuvés ;
• retirer de leurs systèmes informatiques ces produits, mais aussi les « produits et services tiers développés à partir d'implémentations de DeepSeek ».

Pourquoi le DHS juge DeepSeek dangereux

Le DHS estime que les modèles de DeepSeek présentent « plusieurs vecteurs de menace ». Il relève que les serveurs de l'entreprise se trouvent en Chine et que le droit chinois donne de larges pouvoirs d'accès aux services de renseignement. Il ajoute que, pour les instances hébergées par DeepSeek, la création de compte collecte des données personnelles et pourrait suivre les utilisateurs à la trace. Selon le texte, les questions posées au modèle par des fonctionnaires ou des prestataires pourraient faire partir des données sensibles vers la Chine. Les modèles eux-mêmes « pourraient contenir » des logiciels malveillants ou des failles. Le DHS cite des recherches qui ont trouvé plusieurs failles critiques dans l'application iOS de DeepSeek.

Les États-Unis n'en sont pas à leur première mesure. Selon Next, qui cite Reuters, le ministère du Commerce et la Marine avaient déjà banni DeepSeek de leurs appareils, tout comme les États de New York, du Tennessee et de Virginie. Pékin a dénoncé un usage abusif de la notion de sécurité nationale, rapporte l'AFP. DeepSeek ne s'est pas exprimé publiquement.

Ce que le texte laisse flou

L'ordre ne fournit aucune liste de produits. La formule visant les produits « développés à partir » de DeepSeek est large. Elle peut concerner un assistant de programmation, un outil de recherche ou un service en ligne qui s'appuie sur un modèle de l'entreprise, comme le modèle de code publié en libre le 17 octobre. Le texte ne dit pas comment traiter un modèle aux poids ouverts téléchargé et exécuté sur des serveurs américains.

Les agences pouvaient demander une exception par écrit dans les 60 jours suivant la signature, en apportant une « justification impérieuse ». Si l'on compte à partir du 24 juillet, ce délai a expiré le 22 septembre. L'ordre ne s'applique pas aux systèmes de sécurité nationale, qui relèvent du Pentagone et du renseignement. Il sera réexaminé chaque année.

Ce qu'une entreprise européenne peut en retenir

Rien de tout cela ne s'impose en Europe. Mais la démarche du DHS pose une question utile à toute direction informatique : quels modèles tournent réellement derrière les outils d'IA de vos équipes ?

• Recensez les outils qui permettent de choisir le modèle utilisé. Beaucoup proposent DeepSeek dans un simple menu.
• Distinguez l'application ou l'interface de programmation hébergée par DeepSeek, où les données partent vers ses serveurs, d'un modèle aux poids ouverts que vous exécutez vous-même.
• Pendant la période de retrait, le DHS recommande aux agences de surveiller les flux entrants et sortants, de renforcer la journalisation et de contrôler les fuites de données. Ces mesures valent pour n'importe quel outil d'IA.

Reste à voir si d'autres pays alliés suivront Washington, et comment les éditeurs américains qui proposent des modèles DeepSeek à leurs clients publics vont réagir.