Le département de la Sécurité intérieure des États-Unis (DHS) a publié un ordre d'exclusion et de retrait qui écarte les produits et services informatiques de Hangzhou DeepSeek Artificial Intelligence Basic Technology Research Co., Ltd. (DeepSeek) et de ses entités affiliées des achats de l'exécutif civil fédéral, et demande aux agences civiles de les retirer de leurs systèmes d'information. L'avis a été déposé à la consultation publique du Federal Register le 19 octobre sous le numéro 2026-21447, puis officiellement publié le 20 octobre.
L'ordre porte le numéro DHS 2026-01 et a été signé par le secrétaire à la Sécurité intérieure, Markwayne Mullin. D'après les articles publiés, la signature date du 24 juillet ; elle n'avait alors pas été rendue publique, et ce n'est que trois mois plus tard que le texte est entré dans la procédure de publication au Federal Register.
L'ordre porte sur deux volets
Son fondement juridique est la loi sur la sécurité de la chaîne d'approvisionnement des marchés fédéraux (FASCSA), adoptée en 2018. Elle autorise le département de la Sécurité intérieure, le département de la Défense et le directeur du renseignement national à émettre chacun, pour les systèmes relevant de sa compétence, des ordres de sécurité de la chaîne d'approvisionnement ; le DHS est responsable des agences civiles fédérales.
Le contenu de l'ordre se divise en deux parties.
- Exclusion : les agences ne peuvent plus acheter de produits de DeepSeek ni de ses affiliés, y compris via les listes de produits agréés, les plateformes d'achat de commerce électronique et d'autres canaux, avec effet immédiat ;
- Retrait : supprimer des systèmes informatiques des agences les produits de DeepSeek et de ses affiliés, ainsi que les produits et services tiers développés à partir d'implémentations de DeepSeek.
Le champ d'application exclut les systèmes de sécurité nationale et les systèmes d'information classifiés cloisonnés, qui relèvent respectivement du département de la Défense et du directeur du renseignement national.
Les agences peuvent demander des dérogations, qu'il s'agisse d'une exemption totale ou partielle ou d'un délai supplémentaire, par écrit et dans les 60 jours suivant l'émission de l'ordre, en y joignant des « raisons convaincantes » et des mesures de sécurité de substitution ; la demande est examinée par l'Agence de cybersécurité et de sécurité des infrastructures (CISA). Tant que le retrait n'est pas achevé, les agences doivent renforcer la surveillance du trafic réseau et la journalisation, et ajouter des contrôles contre les fuites de données. L'ordre est réexaminé chaque année.
Des interdictions déjà en place
Au niveau fédéral, le département du Commerce et la Marine avaient déjà interdit, chacun de son côté, l'usage de DeepSeek sur les appareils professionnels ; au niveau des États, c'est le cas de New York, du Tennessee et de la Virginie. À l'étranger, l'autorité italienne de protection des données a bloqué l'application DeepSeek début de l'année dernière, et Taïwan, la Corée du Sud et l'Australie en interdisent aussi l'usage sur les appareils gouvernementaux.
Il s'agissait le plus souvent de règlements internes à un service ou à un gouvernement. L'ordre du DHS s'appuie sur une loi fédérale, couvre d'un seul coup toutes les agences civiles et étend le champ aux produits tiers : c'est un cran au-dessus. Le premier ordre d'exclusion public pris au titre de la FASCSA remonte à septembre dernier ; il a été émis par le Bureau du directeur du renseignement national contre l'éditeur de logiciels suisse Acronis.
Qui la clause sur les tiers peut toucher
Pour le lectorat du marché chinois, c'est la clause sur les « produits tiers » qu'il faut surveiller en priorité. Les séries V3, R1 et V4 de DeepSeek ont toutes été publiées avec des poids ouverts ; de nombreuses plateformes cloud et sociétés SaaS américaines les déploient sur leurs propres serveurs et les revendent sous forme de service à leurs clients, dont des clients gouvernementaux.
L'ordre ne fournit aucune liste de produits tiers concernés et ne précise pas si les modèles DeepSeek hébergés sur les serveurs d'entreprises américaines, sans retour de données vers la Chine, doivent être retirés. Selon les articles publiés, c'est le point le plus flou du texte. Si l'application retient la lecture la plus large, tout fournisseur dont le service appelle un modèle DeepSeek en sous-jacent devra prouver à ses clients d'agences civiles qu'il est « propre », faute de quoi il lui faudra changer de modèle.
Les entreprises chinoises d'IA actives à l'international qui ont intégré DeepSeek à leurs produits et répondent à des appels d'offres du gouvernement américain ou de ses sous-traitants verront leur éligibilité directement affectée. Selon les règles de passation des marchés, les contractants fédéraux doivent vérifier régulièrement la liste des ordres FASCSA ; avec sa publication, cet ordre entre dans le périmètre de ce contrôle.
DeepSeek n'avait pas réagi publiquement à l'heure de la publication.
Sources : document de consultation publique du Federal Register américain (vérification du numéro, du nom de l'ordre et de son champ d'application), note d'Inside Government Contracts sur la procédure FASCSA, CocoLoop, lecture du texte intégral de l'ordre par Mad Robot (vérification du signataire, du délai de dérogation de 60 jours et du circuit d'approbation de la CISA).