DeepSeek bloqué en Italie, la France questionne ses données et ses pratiques

En quelques jours, DeepSeek est passé du statut de jeune pousse chinoise très commentée dans le monde de l’intelligence artificielle à celui de dossier sensible pour les régulateurs européens. Le déclencheur n’est pas une réponse produite par son chatbot, mais une question beaucoup plus concrète : quelles données le service recueille-t-il, où les conserve-t-il et selon quelles règles les utilise-t-il ?

Au 3 février 2025, l’Italie a pris la décision la plus ferme. Son autorité de protection des données a ordonné à DeepSeek de cesser le traitement des données des personnes situées dans le pays, ce qui a rendu le service indisponible sur le territoire italien. En France, la Commission nationale de l’informatique et des libertés, la CNIL, a engagé des échanges avec l’entreprise afin d’examiner ses pratiques.

L’affaire intervient dans un contexte de forte attention autour de DeepSeek-R1, le modèle de raisonnement présenté par l’entreprise en janvier 2025. Son succès public, et les interrogations sur la manière dont il a été conçu, ont propulsé la société sous les projecteurs. Mais la décision italienne rappelle une réalité souvent oubliée dans les comparaisons de performances entre chatbots : en Europe, un assistant d’IA est aussi un service numérique soumis à des règles strictes sur les données personnelles.

Ce que l’Italie reproche à DeepSeek

L’autorité italienne, le Garante per la protezione dei dati personali, avait demandé des explications à DeepSeek à la fin de janvier 2025. Elle souhaitait notamment connaître les catégories de données collectées, les finalités de cette collecte, les fondements juridiques invoqués, les lieux de stockage et les mesures d’information des utilisateurs.

Le 30 janvier 2025, l’autorité a estimé que les réponses de l’entreprise étaient insuffisantes. Elle a alors prononcé une mesure limitant le traitement des données des utilisateurs établis en Italie. Cette décision concerne les entités liées au service, Hangzhou DeepSeek Artificial Intelligence et Beijing DeepSeek Artificial Intelligence.

Concrètement, DeepSeek est devenu indisponible pour les utilisateurs italiens et l’application a disparu des magasins d’applications italiens. Il ne s’agit pas d’un jugement sur la qualité des réponses du modèle, ni d’une interdiction générale de la recherche sur l’IA. Le régulateur intervient sur le terrain de la protection des données, un domaine régi dans l’Union européenne par le règlement général sur la protection des données, le RGPD.

Pourquoi la localisation des données est centrale

Comme de nombreux services numériques, un chatbot ne traite pas seulement le texte envoyé dans une conversation. Sa politique de confidentialité évoque aussi des informations de compte, des données techniques et d’usage, ainsi que les contenus fournis au service. Ces informations servent au fonctionnement du produit, à sa sécurité et, selon les conditions prévues, à l’amélioration de ses services.

Le point particulièrement scruté dans le cas de DeepSeek est que sa politique indique un stockage des informations sur des serveurs situés en République populaire de Chine. Stocker des données hors de l’Union européenne n’est pas automatiquement interdit. En revanche, l’entreprise doit pouvoir justifier le mécanisme juridique qui encadre ce transfert et garantir un niveau de protection approprié.

Pour un utilisateur, cette question a des conséquences très pratiques. Une discussion avec un assistant peut contenir un projet professionnel, une demande de résumé de document, du code informatique, des informations sur une entreprise ou, parfois, des éléments relevant de la vie privée. Le réflexe de base consiste donc à ne pas transmettre à un chatbot des données sensibles, des secrets professionnels, des mots de passe, des informations médicales ou des documents confidentiels, quelle que soit la plateforme utilisée.

Les régulateurs examinent aussi la clarté de l’information donnée au public. Les utilisateurs doivent pouvoir comprendre ce qui est collecté, pourquoi, pendant combien de temps, avec qui les données peuvent être partagées et comment exercer leurs droits d’accès, d’effacement ou d’opposition. Ces exigences ne sont pas propres à DeepSeek : elles s’appliquent à l’ensemble des plateformes qui ciblent le marché européen.

Que fait la CNIL française exactement ?

La situation française est différente de la situation italienne. À cette date, la CNIL n’a pas annoncé d’interdiction de DeepSeek en France, ni l’ouverture d’une procédure judiciaire. Elle a indiqué s’intéresser au fonctionnement du service et interroger son responsable de traitement sur les modalités de collecte et d’utilisation des données.

Cette nuance est importante. Une autorité de protection des données dispose de plusieurs outils : elle peut demander des informations, effectuer des vérifications, ouvrir une procédure formelle, mettre une entreprise en demeure, puis, selon les cas, prononcer une sanction. La phase de questions ou d’analyse ne préjuge pas à elle seule de l’issue du dossier.

L’attention de la CNIL s’inscrit néanmoins dans un mouvement plus large. L’arrivée rapide d’assistants conversationnels accessibles au grand public oblige les autorités européennes à contrôler des services qui peuvent atteindre des millions de personnes avant même qu’elles aient eu le temps d’en évaluer tous les effets. Le défi est de protéger les droits des citoyens sans confondre contrôle de conformité et interdiction de l’innovation.

Une affaire de données, mais aussi de souveraineté numérique

Le cas DeepSeek dépasse le cadre d’une seule application. Il cristallise les inquiétudes européennes sur la dépendance aux grandes plateformes étrangères, qu’elles soient américaines ou chinoises. Lorsqu’un outil d’IA est hébergé, entraîné et exploité hors d’Europe, les questions de droit, de contrôle et de circulation des informations deviennent immédiatement géopolitiques.

Les autorités américaines suivent elles aussi la montée de DeepSeek avec attention. L’essor de modèles chinois compétitifs alimente les débats sur la sécurité nationale, la capacité technologique des États et les restrictions américaines visant certaines exportations de puces avancées vers la Chine. Il faut toutefois distinguer ces préoccupations stratégiques d’un constat juridique : le fait qu’un service soit chinois ne suffit pas, en soi, à démontrer un usage abusif de données.

L’enjeu pour les autorités européennes consiste précisément à fonder leurs décisions sur des pratiques vérifiables. Le RGPD impose des obligations à tous les fournisseurs ciblant les utilisateurs européens. Cette logique évite de transformer la protection des données en simple instrument de rivalité commerciale, tout en donnant aux régulateurs la possibilité d’agir lorsque les garanties apparaissent insuffisantes.

Les accusations autour de l’entraînement des modèles

DeepSeek est également sous pression sur un second front. OpenAI a déclaré disposer d’éléments suggérant que des groupes liés à DeepSeek auraient utilisé des sorties de ses modèles pour entraîner des systèmes concurrents. Cette pratique est généralement désignée par le terme de distillation.

Dans son sens technique, la distillation consiste à utiliser les réponses d’un modèle plus vaste pour entraîner un autre modèle. Elle peut permettre de transférer certaines capacités vers un système plus petit ou moins coûteux à faire fonctionner. Dans le secteur, cette méthode existe sous différentes formes, notamment dans la recherche. Mais son emploi peut entrer en conflit avec les conditions d’utilisation d’un service si les réponses sont récupérées de manière automatisée à grande échelle pour construire un concurrent.

Il importe ici de conserver une formulation exacte : au 3 février 2025, OpenAI a fait état de soupçons et d’indices concernant la distillation. Cela ne correspond pas à une décision de justice établissant un plagiat, ni à une condamnation de DeepSeek pour atteinte au droit d’auteur. Le dossier illustre néanmoins la difficulté croissante à tracer l’origine des données et des connaissances mobilisées dans l’entraînement des grands modèles de langage.

La volatilité boursière révèle la nervosité du secteur

La percée de DeepSeek a également secoué les marchés financiers. Le 27 janvier 2025, l’action Nvidia a chuté de 17 %, entraînant une perte de capitalisation boursière d’environ 593 milliards de dollars en une séance. Les investisseurs se demandaient si des modèles performants pouvaient être développés avec moins de ressources de calcul que ne le supposait une partie du marché.

Cette chute est antérieure à la mesure italienne. Elle ne peut donc pas être attribuée au blocage du service en Italie. Elle reflète surtout l’effet de surprise provoqué par DeepSeek dans une industrie où la valeur de nombreuses entreprises repose sur l’anticipation d’investissements massifs en puces, en centres de données et en énergie.

Les épisodes réglementaires ajoutent cependant une couche d’incertitude. Pour une jeune entreprise d’IA, l’accès au marché européen dépend autant de la qualité de ses modèles que de sa capacité à démontrer la conformité de ses pratiques. Une application très populaire peut voir sa diffusion brusquement freinée si elle ne répond pas de façon satisfaisante aux demandes d’une autorité.

Les attaques contre DeepSeek ne prouvent pas une fuite de données

DeepSeek a aussi annoncé limiter temporairement les nouvelles inscriptions en raison d’attaques malveillantes à grande échelle. Les utilisateurs déjà enregistrés pouvaient continuer à se connecter. L’entreprise n’a pas détaillé publiquement la nature exacte de ces attaques.

Cette annonce ne doit pas être confondue avec la confirmation d’une fuite de données ou d’une vulnérabilité précise. Elle montre en revanche qu’un service soudainement très sollicité devient une cible. Attaques par saturation, tentatives d’inscription automatisée, exploitation de failles ou récupération abusive de données sont autant de risques auxquels les plateformes populaires doivent se préparer.

Ce qu’il faut surveiller

Les prochaines réponses de DeepSeek aux autorités européennes seront déterminantes. L’entreprise devra démontrer, de manière suffisamment précise, comment elle respecte les droits des utilisateurs et encadre le stockage de leurs informations. La position de la CNIL française permettra aussi de savoir si les questions soulevées en Italie appellent des vérifications similaires dans d’autres pays de l’Union européenne.

Pour l’Europe, l’affaire constitue un test de cohérence. Les règles de protection des données ont vocation à s’appliquer aux nouveaux acteurs de l’IA aussi fermement qu’aux plateformes déjà établies. Pour DeepSeek, le défi est double : maintenir l’élan suscité par ses modèles tout en apportant les garanties attendues par des régulateurs particulièrement attentifs aux transferts de données et à la transparence.

Enfin, cet épisode devrait encourager les utilisateurs à regarder au-delà de la seule qualité apparente d’un chatbot. Le bon outil n’est pas seulement celui qui répond vite ou semble performant. C’est aussi celui dont les conditions d’utilisation, la sécurité et le traitement des données sont suffisamment compréhensibles pour un usage éclairé.