Le 19 octobre 2026, le département américain de la Sécurité intérieure (DHS) a rendu publique une décision administrative signée dès le 24 juillet 2026 : toutes les agences fédérales civiles américaines doivent supprimer DeepSeek de leurs systèmes et cessent tout achat de ses produits. L'ordre va plus loin que les précédentes restrictions ciblant seulement les appareils gouvernementaux : il couvre également les logiciels tiers construits sur la technologie DeepSeek.
Pour les entreprises françaises, cette décision n'est pas un interdit direct — DeepSeek reste accessible légalement en France et dans l'UE. Mais elle constitue la première évaluation formelle et officielle des risques sécuritaires de DeepSeek par une agence gouvernementale majeure, et produit une documentation de référence que les équipes techniques et les RSSI peuvent intégrer dans leurs analyses de risque.
Ce guide présente les faits de l'ordre DHS, le périmètre exact de la restriction, et une grille de décision pratique pour les organisations qui utilisent ou envisagent d'utiliser DeepSeek dans leur stack IA.
L'ordre d'exclusion DHS #2026-01 : faits confirmés
Réponse directe. L'Exclusion and Removal Order #2026-01, signé par le secrétaire du DHS Markwayne Mullin le 24 juillet 2026, a été rendu public le 19 octobre et publié au Federal Register le 20 octobre 2026. Plusieurs sources indépendantes en ont confirmé les points saillants.
- Portée administrative : l'ordre s'applique à toutes les agences civiles fédérales américaines — soit l'ensemble des administrations à l'exception des entités militaires et du renseignement, qui avaient déjà leurs propres restrictions.
- Obligations des agences : retrait des produits DeepSeek des systèmes informatiques ; arrêt de tout achat ou renouvellement de contrat impliquant DeepSeek ou ses partenaires distributeurs directs.
- Extension aux logiciels tiers : la décision couvre explicitement les produits et services dont la fonctionnalité repose sur la technologie DeepSeek, même si DeepSeek n'en est pas l'éditeur principal. C'est le point le plus significatif pour les entreprises qui utilisent des SaaS construits sur des API DeepSeek.
- Possibilité d'exemption : les agences peuvent demander des dérogations spécifiques, selon des critères non encore publiés.
- Exclusion des marchés publics : DeepSeek est également exclu de la participation à des contrats fédéraux.
Des restrictions partielles antérieures existaient déjà : le département du Commerce, la Marine, et plusieurs États (New York, Tennessee, Virginie) avaient pris des mesures similaires sur les appareils gouvernementaux. L'ordre du 19 octobre les supplante et les étend à l'ensemble du parc informatique civil fédéral.
Périmètre exact : logiciels tiers et exceptions
Réponse directe. Le périmètre de l'ordre DHS est plus large qu'une simple liste de produits DeepSeek : il couvre toute solution dont le fonctionnement dépend de la technologie DeepSeek, créant une zone d'incertitude pour les éditeurs SaaS qui intègrent plusieurs modèles de manière transparente.
Ce qui est clairement dans le périmètre
- Les applications officielles DeepSeek (API, interface web, app mobile) sur des systèmes fédéraux.
- Les intégrations DeepSeek dans des outils productivité, des copilotes code ou des assistants métier déployés sur infrastructure fédérale.
- Les contrats d'achat de GPU-hours ou d'accès API auprès de DeepSeek ou de ses revendeurs agréés.
La zone grise des logiciels tiers
Un éditeur SaaS qui propose un routage multi-modèles (ex. : appels vers DeepSeek, Claude et GPT au choix) entre-t-il dans le périmètre de l'ordre ? La lettre du texte suggère que oui si la fonctionnalité principale repose sur DeepSeek. En pratique, les agences sont amenées à interpréter cas par cas, et des exemptions sont disponibles.
Pour les entreprises privées françaises, cette zone grise est une information à documenter lors de la due diligence sur leurs fournisseurs SaaS IA : si un outil que vous utilisez s'appuie partiellement sur DeepSeek, il est utile de savoir s'il en a documenté le périmètre et les mesures de compartimentage des données.
Risques officiellement documentés
Réponse directe. Le DHS a identifié trois catégories de risques comme justificatifs de l'ordre d'exclusion. Ce sont des risques potentiels documentés dans l'évaluation gouvernementale — et non des incidents avérés sur chaque utilisateur de DeepSeek.
- Transfert non autorisé de données sensibles vers la Chine : les conditions générales de DeepSeek stipulent que les données peuvent être stockées sur des serveurs localisés en Chine, soumis à la législation chinoise sur la sécurité nationale (National Intelligence Law). Pour les agences fédérales traitant des données classifiées ou sensibles, c'est un risque structurel inacceptable.
- Collecte de renseignements sur des ressortissants américains : les interactions avec DeepSeek peuvent alimenter des bases de données auxquelles les autorités chinoises ont légalement accès selon leur droit interne. Ce risque est documenté pour d'autres applications chinoises populaires (TikTok, WeChat) avec les mêmes mécanismes juridiques.
- Introduction de vulnérabilités ou de maliciels : l'évaluation cite le risque d'injection de code malveillant ou de portes dérobées dans les modèles ou les SDK distribués par DeepSeek. Aucun incident public n'a été documenté à ce stade, mais le vecteur est considéré comme crédible.
Ces risques ne s'appliquent pas de manière identique à une PME française et à une agence fédérale américaine. Mais ils constituent une grille d'analyse légitime à partir de laquelle chaque organisation peut calibrer son niveau d'exposition selon la sensibilité de ses données.
Contexte européen : ce que l'ordre américain révèle
Réponse directe. L'ordre DHS ne s'applique pas aux entreprises européennes, mais il documente un risque que le droit européen n'a pas encore formellement qualifié — créant un angle mort dans la conformité RGPD actuelle de nombreuses organisations utilisant DeepSeek.
Le RGPD et le transfert de données hors UE
Utiliser DeepSeek via son API publique implique un transfert de données vers des serveurs potentiellement localisés en Chine, un pays ne bénéficiant d'aucune décision d'adéquation de la Commission européenne. En théorie, cela constitue un transfert de données personnelles hors UE sans garanties appropriées au sens de l'article 46 du RGPD — une violation potentielle si les données envoyées à DeepSeek contiennent des informations sur des personnes identifiables.
La CNIL n'a pas encore publié de position officielle sur DeepSeek spécifiquement, mais la jurisprudence des décisions récentes sur TikTok et Alibaba Cloud offre un cadre d'analyse cohérent. Des alternatives hébergées en Europe ou sous contrat de traitement des données conforme au RGPD existent pour la plupart des usages.
L'AI Act ne couvre pas encore ce risque
L'AI Act européen s'applique aux fournisseurs de modèles d'IA mettant des produits sur le marché de l'UE, mais les exigences de transparence et de sécurité de l'article 55 pour les modèles à usage général ne sont pleinement opposables qu'à partir d'août 2027. Dans l'intervalle, l'évaluation des risques de souveraineté reste à la discrétion des organisations — ce qui rend la documentation DHS d'autant plus utile comme référence.
Pour les projets impliquant des données sensibles (RH, finance, données clients), Genee recommande de prioriser des modèles hébergés dans l'UE ou sous contrat DPA RGPD-compliant dans vos automatisations métier et vos outils internes sur mesure.
Quatre questions avant d'utiliser DeepSeek en entreprise
La décision d'utiliser ou non DeepSeek n'est pas binaire. Elle dépend du type de données traitées, de l'infrastructure d'hébergement, et des obligations contractuelles de votre organisation. Voici quatre questions concrètes à poser.
Question 1 : Vos données envoyées à DeepSeek sont-elles personnelles au sens du RGPD ?
Si oui (nom, email, données client, données RH), un transfert hors UE sans décision d'adéquation est problématique. L'usage de DeepSeek via son API publique est déconseillé pour ces cas de figure. Les modèles ouverts comme Qwen ou Mistral Large 4, auto-hébergés en Europe, offrent une alternative viable.
Question 2 : Votre organisation est-elle soumise à des obligations sectorielles spécifiques ?
Banque, assurance, santé, défense, et marchés publics ont des obligations renforcées. La documentation DHS constitue un signal suffisant pour que les RSSI de ces secteurs excluent DeepSeek de leur liste de fournisseurs autorisés, en attendant une position formelle européenne.
Question 3 : Votre fournisseur SaaS utilise-t-il DeepSeek ?
Demandez à vos fournisseurs IA s'ils routent des requêtes vers DeepSeek et dans quelles conditions. Un éditeur sérieux sera en mesure de vous répondre précisément et de vous proposer des options d'opt-out si votre politique de sécurité l'exige.
Question 4 : Vos besoins nécessitent-ils les capacités spécifiques de DeepSeek ?
DeepSeek V4.1 a des performances réelles sur le coding et le raisonnement. Si votre usage est purement technique (génération de code, analyse de données anonymisées), sans données personnelles ni informations stratégiques, le niveau de risque est substantiellement différent. Dans ce cas, une configuration auto-hébergée via des poids ouverts permet de limiter l'exposition. Contactez-nous pour évaluer l'architecture adaptée à votre contexte.
FAQ — Le DHS américain ordonne l'élimination de DeepSeek de tous les systèmes fédéraux civils, logiciels tiers inclus : risques officiels, périmètre exact et grille de décision pour vos équipes
Le DHS a-t-il interdit DeepSeek pour toutes les entreprises américaines ?
Non. L'ordre DHS s'applique uniquement aux agences fédérales civiles américaines, pas aux entreprises privées ni aux particuliers. Il interdit également à DeepSeek de participer à des marchés publics fédéraux. Des États (NY, TN, VA) ont pris des mesures similaires pour leurs propres systèmes.
DeepSeek est-il interdit en France ou dans l'Union européenne ?
Non, il n'existe pas d'interdiction officielle de DeepSeek en France ou dans l'UE à ce jour. Cependant, l'usage de l'API publique DeepSeek avec des données personnelles pose des questions sérieuses de conformité RGPD en raison du transfert de données potentiel vers des serveurs localisés en Chine.
Qu'est-ce que l'Exclusion and Removal Order #2026-01 du DHS ?
C'est un ordre administratif signé le 24 juillet 2026 par le secrétaire du DHS, rendu public le 19 octobre 2026. Il ordonne aux agences fédérales civiles de retirer tous les produits et services DeepSeek de leurs systèmes, d'arrêter tout achat et d'exclure DeepSeek des marchés publics. Il couvre également les logiciels tiers dont le fonctionnement repose sur la technologie DeepSeek.
Quels risques le DHS a-t-il officiellement documentés sur DeepSeek ?
Le DHS cite trois catégories : le transfert non autorisé de données sensibles vers des serveurs chinois soumis à la législation de sécurité nationale chinoise ; la collecte de renseignements sur des ressortissants américains via les interactions avec le modèle ; et le risque d'introduction de vulnérabilités ou de maliciels. Ces risques sont documentés comme potentiels, pas comme incidents avérés.
DeepSeek V4.1-Flash reste-t-il pertinent pour un usage technique en entreprise ?
Oui, les capacités de DeepSeek V4.1 sur le coding et le raisonnement sont réelles et bien documentées. Pour un usage purement technique sur des données anonymisées ou non sensibles, le modèle conserve son intérêt. La configuration auto-hébergée via les poids ouverts permet de limiter les risques de transfert de données vers l'extérieur.
Quelles alternatives à DeepSeek pour les entreprises soucieuses de souveraineté des données ?
Pour le coding et le raisonnement technique : Mistral Large 4 (poids ouverts, hébergeable en Europe). Pour les usages généraux enterprise : Claude via AWS Bedrock en région EU-West ou Google Vertex en europe-west. Pour le traitement de données sensibles en local : des modèles open-weight auto-hébergés sur infrastructure française ou européenne certifiée SecNumCloud.