Un ordre de juin, publié en octobre
Le département de la Sécurité intérieure des États-Unis a ordonné à toutes les agences civiles fédérales de retirer DeepSeek de leurs systèmes informatiques et de cesser d’en acheter. L’avis est parvenu au bureau d’inspection publique du Federal Register à 8 h 45, heure de l’Est, le 19 octobre, et paraît le 20 octobre sous le numéro de dossier DHS-2026-0628.
Deux clauses le rendent plus large que les blocages agence par agence qui l’ont précédé. La première est l’exclusion : les produits et services développés par Hangzhou DeepSeek Artificial Intelligence Co., Ltd, « y compris les entités affiliées telles que définies au 48 CFR 2.101 », sont écartés des marchés civils fédéraux. La seconde est le retrait, qui porte sur « tous les produits de DeepSeek et de ses affiliés, ainsi que les produits et services de tiers développés à l’aide d’implémentations de DeepSeek ».
Cette dernière formule est la clause opérante. Un prestataire qui vend à une agence un outil de résumé de documents appelant un modèle DeepSeek est concerné, que le nom de DeepSeek figure ou non dans le contrat.
Une loi écrite pour les fournisseurs de matériel
Le fondement juridique est le Federal Acquisition Supply Chain Security Act de 2018, codifié au 41 U.S.C. 1321-1328, avec des règlements d’application au 41 CFR 201-1. Le département indique que le secrétaire a agi après examen d’une recommandation du Federal Acquisition Security Council et des éléments qui la soutiennent. Cette loi a été conçue pour sortir des systèmes fédéraux des fournisseurs de matériel et de cybersécurité jugés risqués ; elle est ici dirigée contre un agent conversationnel.
La mise en œuvre revient à la CISA. L’avis ne donne qu’un contact, l’équipe de mise en œuvre des ordres FASCSA au sein de la division cybersécurité de la CISA, et l’ordre signé est reproduit en annexe et déposé sur regulations.gov sous le même numéro de dossier. L’avis est signé par James H. Percival II, directeur juridique du département.
L’interdiction a quatre mois
Le document publié cette semaine est l’avis d’un ordre, et non l’ordre lui-même. CyberScoop, qui a lu l’annexe, rapporte que la lettre qu’elle contient, signée du secrétaire à la Sécurité intérieure Markwayne Mullin, est datée du 26 juin. L’exclusion fonctionnait donc au sein de l’exécutif depuis environ quatre mois avant toute communication formelle à l’extérieur.
CyberScoop expose aussi le raisonnement affiché par le département : les modèles de DeepSeek présentent « de multiples vecteurs de menace », les données se trouvent sur des serveurs en Chine où l’État peut en exiger la communication auprès des entreprises nationales, les modèles hébergés par DeepSeek collectent des données personnelles et peuvent suivre les empreintes numériques des utilisateurs, et le cycle même de requête et de réponse peut transférer des éléments sensibles vers Pékin. Mullin a écrit que ces données pourraient produire « du renseignement exploitable sur des personnes américaines et/ou des programmes gouvernementaux ».
Ce que les agences doivent faire
Les agences peuvent demander une dérogation, mais aux conditions du département : un préavis de 60 jours et une « justification impérieuse », comme l’impossibilité d’assurer une fonction critique sans le produit. Jusqu’à l’achèvement du retrait, le département les encourage à surveiller le trafic à destination de DeepSeek, à renforcer la journalisation, à contrôler l’exfiltration de données et à signaler toute activité anormale — un conseil, non une obligation.
La portée de l’ordre s’arrête à la branche exécutive civile fédérale. Il ne lie ni les États, ni les entreprises privées, ni les gouvernements étrangers, et il ne constitue pas une inscription sur l’Entity List, qui restreindrait les exportations vers DeepSeek plutôt que les achats auprès d’elle. Les systèmes de défense et de renseignement sont hors de la branche civile et relèvent de règles distinctes.
DeepSeek est le seul développeur chinois d’IA nommé. Qwen, d’Alibaba, et Kimi, de Moonshot AI, ont suscité des commentaires de sécurité nationale comparables à Washington cette année, et des laboratoires américains ont accusé plusieurs développeurs chinois de distiller leurs modèles, mais aucune de ces entreprises ne figure dans cet ordre.
L’épreuve pratique est maintenant l’audit. Les agences savent à quels fournisseurs elles achètent ; elles ne savent pas avec certitude quels modèles ces fournisseurs appellent en dessous. Déterminer quelle part des logiciels fédéraux adresse discrètement une requête à un point de terminaison DeepSeek est la partie de cet ordre qui reste à faire.
