Le DHS ordonne le retrait de DeepSeek des systèmes informatiques des agences civiles fédérales américaines

Le département de la Sécurité intérieure des États-Unis a ordonné aux agences civiles fédérales d’arrêter d’acheter des produits DeepSeek et de les retirer de leurs systèmes informatiques, selon un avis prévu au Federal Register le 20 octobre 2026 [1]. L’ordre signé joint à l’avis indique le 24 juillet 2026 comme date de publication initiale [1][2].

Que demande l’ordre concernant DeepSeek ?

Le département de la Sécurité intérieure a ordonné aux agences civiles fédérales d’exclure et de retirer les produits DeepSeek. L’ordre concerne Hangzhou DeepSeek Artificial Intelligence et ses entités affiliées, ainsi que les produits et services tiers développés avec des implémentations DeepSeek [1].

L’interdiction d’achat s’applique immédiatement après la publication et s’étend aux listes de produits approuvés par les agences et aux marchés de commerce électronique, selon l’ordre [1]. Les systèmes de sécurité nationale et les systèmes d’information compartimentés sécurisés sont hors de son champ d’application ; les systèmes de défense et de renseignement relèvent d’autorités distinctes [1].

La base juridique est le Federal Acquisition Supply Chain Security Act de 2018, après examen d’une recommandation du Federal Acquisition Security Council [1]. Le document est intitulé Exclusion and Removal Order #2026-01 et est émis par le secrétaire à la Sécurité intérieure Markwayne Mullin [1].

Pourquoi le DHS considère-t-il DeepSeek comme un risque ?

L’ordre indique que les serveurs de DeepSeek sont situés en Chine, dont le système juridique, selon lui, donne aux fonctions gouvernementales de cyber et de renseignement un accès étendu à l’infrastructure des entreprises privées [1]. Il ajoute également que les modèles hébergés par DeepSeek collectent des informations personnellement identifiables et peuvent suivre et identifier numériquement les utilisateurs [1].

L’ordre ajoute que les modèles eux-mêmes peuvent contenir des logiciels malveillants ou d’autres vulnérabilités de sécurité, et cite des recherches externes sur des failles critiques dans l’application iOS de DeepSeek [1]. Il ne décrit aucun incident spécifique dans une agence fédérale [1].

Quand l’ordre a-t-il été réellement publié ?

L’ordre du DHS indique le 24 juillet 2026 comme date de publication initiale, presque trois mois avant l’avis public. L’avis a été déposé pour inspection publique le 19 octobre à 8 h 45, heure de l’Est, et est prévu pour publication le 20 octobre, soit 88 jours après la date de publication indiquée [1].

CyberScoop a rapporté que la lettre jointe ordonnait l’exclusion le 26 juin [2]. The AI Pin a trouvé le 24 juillet sur la page de couverture de l’ordre et aucune date du 26 juin dans le document de six pages, donc nous utilisons le 24 juillet [1].

Que se passe-t-il ensuite pour les agences ?

La CISA examine les demandes d’exception que les agences doivent déposer par écrit dans les 60 jours suivant la publication de l’ordre. Les demandes nécessitent une justification convaincante, comme l’impact sur des fonctions critiques pour la mission ou des considérations de sécurité nationale [1].

Compté à partir du 24 juillet, ce délai aurait expiré le 22 septembre, avant la parution de l’avis public. L’avis ne précise pas si les agences ont été informées plus tôt [1].

Jusqu’à l’achèvement du retrait, l’ordre encourage les agences à surveiller le trafic, à ajouter des journaux et des contrôles sur l’exfiltration de données, et à signaler les activités anormales [1]. Le secrétaire doit réexaminer l’ordre dans un an et chaque année par la suite [1].

CyberScoop a noté que DeepSeek est le seul modèle d’IA chinois nommé dans l’ordre [2]. The AI Pin a récemment couvert la mise à jour V4.1 Flash de DeepSeek et la nouvelle API de recherche (theaipin.com/trends/deepseek-updates-v4-1-flash-and-opens-search-api).

Notre analyse

Opinion : Retirer un chatbot hébergé en Chine des réseaux gouvernementaux constitue une ligne de base défendable. La difficulté réside dans la portée de l’ordre sur les produits tiers construits sur des implémentations DeepSeek, car les modèles open-weight fonctionnent sur les serveurs de nombreux fournisseurs et les agences auront besoin de directives claires sur ce qui compte.

Ce que nous n’avons pas pu vérifier

• Pourquoi l’ordre n’a été rendu public que le 20 octobre, presque trois mois après sa date de publication indiquée ; le DHS n’a pas expliqué cet écart.
• La date du 26 juin mentionnée par CyberScoop ; elle n’apparaît pas dans le PDF examiné, qui indique le 24 juillet.
• Si une agence a demandé ou obtenu une exception, et combien d’agences utilisaient des produits DeepSeek.
• Si DeepSeek a répondu ; aucune déclaration n’a été trouvée au 03:00 CEST le 20 octobre.
• La recommandation du Federal Acquisition Security Council et les preuves à l’appui de l’ordre ne sont pas publiques.
• L’annexe de l’ordre est une image numérisée ; notre citation provient de notre propre transcription de la page.