Interdiction DeepSeek : le DHS vise les produits tiers

Pourquoi l'État s'en prend à DeepSeek

Le Federal Acquisition Security Council a conclu que les modèles, le code et les services de DeepSeek présentent des vulnérabilités de chaîne d'approvisionnement, des risques d'exfiltration de données et des dangers pour l'intégrité inacceptables dans les environnements informatiques fédéraux. Selon le cabinet d'avocats Haynes Boone, qui décrit le résumé des risques de l'ordre, les serveurs de DeepSeek se trouvent en Chine, dont le système juridique donne aux services de cybersécurité et de renseignement de l'État de vastes pouvoirs d'accès aux infrastructures des entreprises privées.

Le résumé énumère plusieurs risques concrets. L'inscription à un compte sur les modèles hébergés par DeepSeek collecte des informations personnelles identifiables et peut suivre et identifier les utilisateurs par empreinte numérique. Les requêtes saisies dans les applications les plus utilisées de DeepSeek peuvent envoyer des données sensibles en Chine. Les modèles eux-mêmes peuvent contenir des logiciels malveillants ou d'autres vulnérabilités, et l'ordre cite une étude ayant relevé plusieurs failles critiques dans l'application iOS de DeepSeek.

Ce que l'ordre FASCSA exige

L'Exclusion and Removal Order #2026-01, signé par le secrétaire à la Sécurité intérieure Markwayne Mullin en vertu du Federal Acquisition Supply Chain Security Act de 2018, comporte deux volets. Il interdit à DeepSeek et à ses filiales de participer aux marchés publics fédéraux civils, et il oblige les agences civiles à retirer tous les produits DeepSeek de leurs systèmes informatiques, y compris les produits et services tiers développés avec des implémentations de DeepSeek.

Les deux volets s'appliquent immédiatement. Le département de l'Énergie, par exemple, a demandé à son personnel chargé des contrats, dans une note de politique datée du 27 octobre 2026, de retirer tous les produits DeepSeek de ses réseaux et de ne signer aucun contrat qui en contienne. Des ordres équivalents du département de la Guerre et du directeur du renseignement national couvrent les agences de défense et la communauté du renseignement.

Comment l'ordre atteint les entreprises qui vendent aux agences

L'ordre s'adresse aux agences, mais les prestataires y sont soumis par une clause contractuelle, la FAR 52.204-30. Sauf dérogation, elle leur interdit de fournir ou d'utiliser des articles couverts dans l'exécution d'un contrat. Elle fixe aussi une routine : les prestataires doivent consulter SAM.gov au moins tous les trois mois pour y repérer les nouveaux ordres FASCSA et mener une enquête raisonnable sur leur chaîne d'approvisionnement.

Si un prestataire découvre un article couvert, il doit le signaler à l'agent contractant sous trois jours ouvrables, puis transmettre ses mesures d'atténuation dans un délai de 10 jours ouvrables. La clause doit être répercutée sur tous les contrats de sous-traitance, y compris ceux portant sur des produits et services commerciaux.

« La propriété et le contrôle, et non la marque, décident si les produits d'un fournisseur sont couverts. » Haynes Boone, sur les filiales de DeepSeek visées par l'ordre

Ce que révèlent les dates et le périmètre

Le calendrier compte autant que le texte. La date de publication indiquée dans l'ordre était le 24 juillet 2026 ; il a été déposé pour consultation publique le 19 octobre et a paru au Federal Register le 20 octobre 2026, près de trois mois plus tard. Les agences disposaient de 60 jours à compter de l'émission pour demander une exception : la fenêtre s'est donc fermée le 22 septembre, 28 jours avant que le public puisse lire l'ordre, relève Haynes Boone.

Le périmètre est plus large que celui des deux autres ordres. Selon Crowell & Moring, les ordres de la défense et du renseignement couvrent les logiciels qui mettent en œuvre un modèle DeepSeek, où qu'il soit hébergé. L'ordre civil ajoute les produits développés avec des implémentations de DeepSeek, ce qui, selon le cabinet, laisse penser que les logiciels écrits avec l'assistant de code de DeepSeek pourraient être visés. L'ordre ne définit pas l'expression « implémentation de DeepSeek ».

Ce que l'interdiction DeepSeek du DHS change pour les prestataires fédéraux

Pour toute entreprise qui vend des logiciels ou des services aux agences civiles, l'origine d'un modèle devient un point de vérification obligatoire. Haynes Boone conseille aux éditeurs de cartographier les endroits où des modèles DeepSeek, ou leurs versions affinées, se trouvent dans leurs produits, y compris les déploiements open-weight auto-hébergés, et de documenter le résultat. Comme les modèles de DeepSeek sont open-weight, ils peuvent tourner sur le matériel d'un éditeur sans jamais toucher les serveurs de DeepSeek, et le texte sur le retrait ne distingue pas ces déploiements de ceux hébergés par DeepSeek.

Les tâches pratiques sont un inventaire de tous les modèles d'IA d'un produit, un registre de l'origine de chacun et un processus de signalement capable de tenir un délai de trois jours ouvrables. Le secrétaire réexaminera l'ordre dans un délai d'un an, puis chaque année.

Questions et réponses

L'ordre couvre-t-il les modèles DeepSeek qu'un éditeur exécute sur ses propres serveurs ?

Le texte ne le dit pas directement. Le libellé du retrait ne distingue ni les déploiements hébergés par DeepSeek des déploiements auto-hébergés, ni ne traite des versions affinées ; les cabinets d'avocats conseillent donc aux éditeurs de cartographier et de documenter chacun de ces usages.

Que doit faire un prestataire qui trouve DeepSeek dans son produit ?

En vertu de la FAR 52.204-30, il doit le signaler à l'agent contractant sous trois jours ouvrables après avoir identifié un article couvert, puis compléter son signalement avec les mesures d'atténuation sous 10 jours ouvrables.

Quand l'ordre sur DeepSeek est-il entré en vigueur ?

L'exclusion a pris effet immédiatement à l'émission. La date de publication indiquée dans l'ordre était le 24 juillet 2026, et il a paru au Federal Register le 20 octobre 2026.