Les produits DeepSeek exclus des agences civiles fédérales : l'ordonnance FASCSA du DHS américain publiée au Federal Register le 20 octobre

WASHINGTON

Le département de la Sécurité intérieure des États-Unis (DHS) a publié le 20 octobre un ordre dans le Federal Register (vol. 91, n° 201, p. 66346–66350) ordonnant l'exclusion des produits de DeepSeek des marchés publics de la branche exécutive civile fédérale et leur retrait des systèmes informatiques. En vertu de la loi sur la sécurité de la chaîne d'approvisionnement des acquisitions fédérales (FASCSA), le DHS a exigé des agences civiles fédérales qu'elles excluent les produits de DeepSeek et de ses filiales des marchés publics et qu'elles retirent de leurs systèmes les produits actuellement utilisés. L'avis s'intitule « Avis d'ordres concernant l'exclusion et le retrait des produits DeepSeek des systèmes de technologies de l'information et des marchés publics de la branche exécutive civile fédérale », et le numéro d'ordre est 2026-01. Le secrétaire à la Sécurité intérieure, Markwayne Mullin, a signé l'ordre, et le DHS a indiqué le 24 juillet comme date d'émission initiale dans le texte de l'ordre.

Les agences civiles fédérales doivent exclure les produits DeepSeek des marchés publics et les retirer de leurs systèmes

La première mesure du DHS est l'exclusion. Toutes les agences civiles fédérales doivent exclure DeepSeek, les filiales de DeepSeek et leurs produits des marchés publics des agences civiles. Le DHS a précisé que cette mesure prend effet dès la promulgation de l'ordre. Les dispositifs facilitant l'acquisition de matériels, de logiciels et de services informatiques — tels que les listes de produits approuvés par les agences, les listes d'équipements de prestataires de services et les plateformes de commerce électronique — sont également soumis à cette exclusion.

La seconde mesure est le retrait. Les produits fournis par DeepSeek et ses filiales, ainsi que les produits et services de tiers conçus à l'aide d'implémentations de DeepSeek, doivent être supprimés des systèmes informatiques des agences civiles fédérales. Cette mesure doit également être appliquée dès la promulgation, et les agences dans l'incapacité de s'y conformer doivent déposer une demande de dérogation. Ici, l'informatique (IT) désigne les technologies de l'information et des communications telles que définies à l'article 1321 du titre 41 du Code des États-Unis.

Le périmètre des entités affiliées suit la définition établie par la réglementation fédérale sur les acquisitions (48 CFR 2.101). Une entité est une filiale ou société affiliée si l'une contrôle ou a le pouvoir de contrôler directement ou indirectement l'autre, ou si un tiers contrôle ou a le pouvoir de contrôler les deux. Le champ d'application des agences soumises à cet ordre est également défini.

L'ordre s'applique aux agences de la branche exécutive civile fédérale, à l'exclusion des systèmes de sécurité nationale et des systèmes d'informations compartimentées protégées

Le DHS a limité l'application de l'ordre aux agences de la branche exécutive civile fédérale, en excluant de son champ d'application les systèmes de sécurité nationale et les systèmes d'informations compartimentées protégées de ces agences. Dans une note de bas de page, le DHS a justifié cette décision par des dispositions législatives fédérales. L'autorité du secrétaire à la Sécurité intérieure pour promulguer des ordres d'exclusion et de retrait ne s'étend pas aux domaines relevant de la compétence du secrétaire à la Défense ou du directeur du renseignement national (DNI). Le secrétaire à la Défense peut émettre des ordres de même nature pour les systèmes du département de la Défense et pour les systèmes de sécurité nationale qui ne sont pas des systèmes d'informations compartimentées protégées, tandis que le DNI peut le faire pour la communauté du renseignement et les systèmes d'informations compartimentées protégées.

Le texte de référence est la loi de 2018 sur la sécurité de la chaîne d'approvisionnement des acquisitions fédérales (FASCSA). Cette loi est codifiée aux articles 1321 à 1328 du titre 41 du Code des États-Unis, et ses règlements d'application figurent dans la partie 201-1 du titre 41 du Code des règlements fédéraux. En vertu de cette loi, si le Conseil de sécurité des acquisitions fédérales (FASC) recommande d'exclure des produits ou services à risque des marchés publics fédéraux et des systèmes informatiques, le secrétaire à la Sécurité intérieure, le secrétaire à la Défense et le DNI peuvent émettre des ordres dans leurs domaines de compétence respectifs. La règle finale du FASC publiée au Federal Register le 26 août 2021 est entrée en vigueur le 27 septembre de la même année. Le DHS a indiqué que le secrétaire a émis cet ordre après avoir examiné la recommandation du FASC ainsi que les preuves pertinentes. Dans le résumé des risques de l'ordre, le DHS a récapitulé les problèmes soulevés par DeepSeek.

Le DHS cite les serveurs de DeepSeek basés en Chine et la collecte potentielle de données d'utilisateurs comme des risques

Dans son résumé des risques, le DHS a décrit DeepSeek comme une entité étrangère privée basée en Chine. Cette entreprise fournit gratuitement et à grande échelle plusieurs applications d'intelligence artificielle. Le DHS a souligné que les serveurs de DeepSeek sont situés en Chine et a expliqué que le cadre juridique chinois confère de larges prérogatives aux fonctions étatiques de cybersécurité et de renseignement pour accéder aux infrastructures des entreprises privées.

Pour les modèles exploités directement par DeepSeek, le DHS a indiqué que des informations d'identification personnelle sont collectées lors de la création d'un compte, ce qui permet de suivre les utilisateurs ou d'établir des empreintes numériques. Les applications les plus courantes de DeepSeek consistent à soumettre des informations au modèle pour recevoir des réponses. Le DHS a expliqué que si des employés ou sous-traitants du gouvernement américain les utilisent, des données sensibles pourraient être transférées vers la Chine. Il a précisé que ces données ainsi transmises, qu'elles soient utilisées seules ou combinées avec des informations publiques, pourraient devenir des renseignements exploitables concernant des citoyens américains ou des programmes gouvernementaux.

L'ordre mentionne également que les modèles eux-mêmes pourraient contenir du code malveillant ou d'autres vulnérabilités de sécurité. Le DHS a indiqué que des recherches de sécurité en sources ouvertes ont révélé plusieurs vulnérabilités critiques dans l'application mobile iOS de DeepSeek. Dans ses notes de bas de page, le DHS a cité à l'appui de ces constats un avis de sécurité des données du DHS en date du 22 décembre 2020, un rapport sur DeepSeek de la commission spéciale de la Chambre des représentants des États-Unis sur la compétition stratégique entre les États-Unis et le Parti communiste chinois en date du 16 avril 2025, ainsi qu'une analyse de la société de sécurité NowSecure en date du 6 février 2025. Indépendamment de cet ordre, des agences gouvernementales américaines ont publié en septembre un avis d'alerte ciblant les entreprises d'IA basées en Chine.

La NSA, la CISA et le FBI ont publié le 8 septembre un avis distinct alertant sur les activités de distillation menées par des entreprises d'IA basées en Chine

L'Agence nationale de sécurité (NSA), le Bureau fédéral d'enquête (FBI) et l'Agence de cybersécurité et de sécurité des infrastructures (CISA) ont publié le 8 septembre l'avis de cybersécurité AA26-251A, intitulé « Campagnes de distillation d'IA à l'échelle industrielle menées par des entreprises d'IA basées en Chine ciblant les entreprises américaines d'IA ». Les trois agences ont nommément désigné DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun et Z.AI. Elles ont précisé que DeepSeek a mené des campagnes systématiques de distillation visant les modèles de pointe des entreprises américaines d'IA depuis au moins la fin de l'année 2024. Bien que la distillation soit reconnue comme une technique légitime et utile dans la recherche en IA, les trois agences ont qualifié cette activité d'agressive et de malveillante.

Dans un communiqué de presse diffusé le même jour, la NSA a déclaré que les progrès des modèles d'IA chinois pourraient accroître les capacités d'attaque militaires et cybernétiques susceptibles d'être tournées contre les États-Unis et leurs alliés. Les comptes de la CISA et de la NSA ont annoncé la publication de cet avis sur X le même jour. Le DHS n'a pas mentionné cet avis parmi ses motifs dans sa publication du 20 octobre. Ni le DHS ni la NSA n'ont précisé le lien existant entre ces deux initiatives. L'ordre prévoit une procédure de dérogation pour les agences confrontées à des difficultés de mise en œuvre.

Les agences peuvent déposer une demande de dérogation par écrit dans les 60 jours suivant la promulgation

Les agences exécutives fédérales peuvent solliciter une dérogation auprès du responsable de l'émission au sein du DHS conformément au 41 CFR 201-1.304(b). Il est possible de demander que l'ordre ne s'applique pas à l'agence concernée, qu'il ne s'applique pas à des actes précis ou que le délai de mise en œuvre soit repoussé. La demande doit être déposée par écrit dans un délai de 60 jours suivant la promulgation de l'ordre. Le dossier doit comporter cinq éléments : l'identification de l'ordre concerné, l'explication de la portée de la dérogation demandée, le nom ou la description des produits ou services visés, les motifs impérieux justifiant l'octroi d'une dérogation, ainsi que les mesures d'atténuation alternatives que l'agence prendra pour réduire les risques. Comme exemples de motifs impérieux, le DHS a mentionné l'impact de l'ordre sur la capacité de l'agence à accomplir ses missions essentielles, ainsi que des considérations relatives à l'intérêt national telles que les examens de sécurité nationale, les enquêtes de sécurité nationale ou les accords de sécurité nationale.

La CISA examine les demandes et notifie par écrit son approbation ou son rejet. Les demandes doivent être transmises à l'adresse FASCSA.Orders@cisa.dhs.gov. Cette même adresse sert de point de contact pour l'assistance à la mise en œuvre et le traitement des questions relatives aux rapports sur cet ordre. Le contact indiqué dans l'avis du Federal Register est l'équipe de mise en œuvre des ordres FASCSA au sein de la division Cybersécurité de la CISA.

Le DHS a recommandé aux agences fédérales de prendre des mesures pour faire face aux risques pesant sur leurs systèmes pendant la période précédant le retrait complet. Il s'agit notamment de surveiller le trafic entrant et sortant des agences, de renforcer la journalisation et les contrôles sur les systèmes concernés afin de prévenir l'exfiltration de données, ainsi que de détecter et signaler les activités anormales. La CISA peut apporter un soutien technique aux agences qui ne disposent pas des capacités internes nécessaires pour appliquer la mesure. Comme l'exige la FASCSA, le secrétaire à la Sécurité intérieure réexaminera l'ordre dans un délai d'un an, puis chaque année par la suite. De tels ordres sont émis selon les procédures prévues par la FASCSA.

Le FASC informe l'entreprise visée qui dispose de 30 jours pour formuler des observations, puis de 60 jours après l'ordre pour saisir la justice

Selon la règle finale du FASC, le Conseil doit notifier sa recommandation aux entités qui y sont désignées. Cette notification précise les critères retenus par le Conseil ainsi que les éléments d'information sur lesquels repose la recommandation, dans la mesure où cela ne porte pas atteinte aux intérêts de la sécurité nationale et de l'application de la loi. L'entreprise peut, dans un délai de 30 jours à compter de la réception de la notification, soumettre des informations et des arguments contestant la recommandation. Le FASC peut modifier ou retirer sa recommandation au vu de la réponse de l'entreprise. À défaut, les responsables habilités du DHS, du département de la Défense et du DNI peuvent promulguer des ordres conformément à la recommandation. Le FASC n'émet pas d'ordres directement.

Les entreprises disposent également d'une voie de recours après la promulgation d'un ordre. En application de l'article 1327 du titre 41 du Code des États-Unis, une entreprise peut déposer un recours en révision judiciaire dans les 60 jours suivant la notification de la promulgation de l'ordre. La fixation de la date d'entrée en vigueur de l'ordre et sa notification à l'entreprise incombent au responsable qui a rendu l'ordre, et non au FASC. Le DHS n'a pas révélé quelle réponse DeepSeek a pu formuler à cet ordre, ni la date à laquelle l'entreprise en a reçu notification.

La date portée par le DHS sur le texte de l'ordre est le 24 juillet, alors que la publication dans le Federal Register date du 20 octobre. Le DHS n'a pas expliqué l'écart entre ces deux dates. James H. Percival II, conseiller juridique général du DHS, a signé l'avis, et le numéro de dossier (docket) du DHS est DHS-2026-0628. Le DHS a indiqué qu'une copie de l'ordre signé peut être consultée sur regulations.gov en effectuant une recherche avec ce numéro. Russell Vought, directeur du Bureau de la gestion et du budget de la Maison-Blanche, figure en copie de l'ordre.

Sources (KST)

• Federal Register 91 FR 66346–66350, 2026-10-20, numéro de document 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Avis conjoint NSA·CISA·FBI AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• Communiqué de presse de la NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374