Le département de la Sécurité intérieure (DHS) des États-Unis ordonne aux agences fédérales civiles d'expurger leurs systèmes informatiques des produits d'intelligence artificielle de DeepSeek et de cesser d'en acquérir. Un avis mis en consultation publique au Federal Register le lundi 19 octobre 2026, avant sa publication officielle prévue le 20, révèle l'ordonnance d'exclusion et de retrait n° 2026-01, prise en vertu de la loi de 2018 sur la sécurité de la chaîne d'approvisionnement des achats fédéraux (FASCSA). Reuters et Bloomberg Law ont rapporté la décision dès lundi.
Le dispositif comporte deux volets. Les agences doivent d'abord écarter immédiatement Hangzhou DeepSeek Artificial Intelligence et ses sociétés affiliées de leurs achats civils, qu'il s'agisse des listes de produits agréés, des places de marché en ligne ou de canaux comparables. Elles doivent ensuite supprimer de leurs systèmes les produits fournis par DeepSeek ou ses filiales, mais aussi les produits et services de tiers conçus à partir d'implémentations de DeepSeek. Une note de bas de page précise que les implémentations tierces utilisées pour servir des agences civiles sont visées : les prestataires qui s'appuient sur les modèles de l'entreprise entrent donc dans le champ, et pas seulement l'application et le site de DeepSeek.
L'ordonnance signée, jointe en annexe, porte une date d'émission initiale fixée au 24 juillet 2026 et la signature du secrétaire à la Sécurité intérieure, Markwayne Mullin, avec copie au directeur du Bureau de la gestion et du budget, Russell Vought. Elle s'applique aux agences civiles de l'exécutif, à l'exception de leurs systèmes de sécurité nationale et de leurs systèmes d'information compartimentés ; la loi confie les systèmes de la défense et du renseignement au secrétaire à la Défense et au directeur du renseignement national. L'avis public est signé par le directeur juridique du DHS, James H. Percival II. Rien dans les documents n'explique pourquoi le texte n'apparaît que près de trois mois après sa date d'émission.
Le DHS invoque des risques pour les données et la sécurité. Selon l'ordonnance, les serveurs de DeepSeek se trouvent en Chine, où le cadre juridique accorde aux services gouvernementaux de cybersécurité et de renseignement de larges pouvoirs d'accès aux infrastructures des entreprises privées. Pour les modèles hébergés par DeepSeek, la création d'un compte collecterait des données personnelles et permettrait de suivre et d'identifier les utilisateurs, tandis que les requêtes saisies par des agents publics ou des prestataires pourraient faire parvenir des informations sensibles en Chine. Le texte ajoute que les modèles peuvent receler des logiciels malveillants ou d'autres failles, et s'appuie sur des travaux extérieurs ayant mis au jour plusieurs vulnérabilités critiques dans l'application iOS de DeepSeek. Reuters cite le ministère, qui évoque de "multiples vecteurs de menace".
Les agences incapables de se conformer sur-le-champ disposent d'une marge étroite. Elles peuvent solliciter une exception auprès du responsable désigné au DHS, y compris un délai, mais la demande écrite doit être déposée dans les 60 jours suivant l'émission de l'ordonnance, avec une justification solide et les mesures d'atténuation envisagées. L'agence de cybersécurité CISA instruit ces demandes. En attendant le retrait complet, les agences sont invitées à surveiller les flux réseau, à renforcer la journalisation et les contrôles contre l'exfiltration de données, et à signaler toute activité anormale. La CISA peut fournir une assistance technique, et le secrétaire doit réexaminer l'ordonnance dans un délai d'un an, puis chaque année.
La mesure va bien plus loin que les tentatives antérieures du Congrès. La version déposée à la Chambre du No DeepSeek on Government Devices Act, en février 2025, figure toujours au stade du dépôt, son dernier acte étant un renvoi en commission. Bloomberg Law rappelle que DeepSeek fait l'objet d'une surveillance attentive à Washington depuis que son modèle R1 a secoué les marchés au début de l'an dernier, et que ses modèles à poids ouverts, moins chers, concurrencent de plus en plus les développeurs de la Silicon Valley.
Plusieurs questions pratiques restent en suspens. Les documents ne citent aucun produit précis, ne disent pas comment repérer des briques DeepSeek au sein de logiciels commerciaux et restent muets sur les modèles DeepSeek à poids ouverts qu'un prestataire ferait tourner sur ses propres serveurs, hormis la mention générale des implémentations tierces. Aucune réaction publique de DeepSeek n'a été trouvée lors de la vérification. Pour les fournisseurs de l'administration, la priorité immédiate consiste à recenser les modèles DeepSeek présents dans les services vendus aux agences civiles.