DeepSeek sous pression : pourquoi ses données hébergées en Chine inquiètent

L’ascension de DeepSeek dans l’intelligence artificielle s’accompagne d’un revers politique et sécuritaire. L’application chinoise, remarquée pour ses capacités techniques et son accès gratuit à des fonctions avancées, est désormais au cœur d’interrogations sur le devenir des informations confiées par ses utilisateurs.

Au 8 février 2025, le débat ne porte pas seulement sur les performances d’un modèle de langage. Il concerne aussi les infrastructures qui l’entourent, les données techniques recueillies lors de l’utilisation du service et la possibilité que ces informations soient stockées en Chine. Plusieurs administrations ont déjà choisi la prudence, tandis que des élus américains veulent aller plus loin avec une interdiction sur les appareils gouvernementaux.

Pourquoi DeepSeek est devenu un sujet de sécurité nationale

DeepSeek s’est rapidement imposé dans les discussions sur l’IA comme une alternative crédible aux grands acteurs américains, notamment OpenAI et Google. Son positionnement a de quoi attirer : proposer gratuitement des fonctions avancées permet à un très grand nombre d’utilisateurs de tester un assistant conversationnel, sans abonnement ni coût d’entrée apparent.

Mais une application d’IA n’est pas un simple logiciel installé sur un téléphone. Chaque interaction peut mobiliser un ensemble de données techniques permettant au service de fonctionner, d’identifier une session, d’améliorer l’expérience ou de lutter contre les abus. Dès lors que l’outil est utilisé dans un cadre professionnel, universitaire ou administratif, les enjeux changent d’échelle.

Une requête adressée à un assistant peut en effet contenir, parfois sans que son auteur en mesure la portée :

• des informations sur un projet interne ou un document de travail ;
• des données personnelles, telles qu’un nom, une adresse ou un identifiant ;
• des éléments confidentiels sur un client, un patient ou un partenaire ;
• du code, des mots de passe ou des extraits de systèmes informatiques.

Le sujet est donc double. Il y a, d’une part, la nature des données explicitement saisies dans le dialogue. Il y a, d’autre part, les informations de fonctionnement collectées en arrière-plan par l’application. La gratuité d’un service ne permet pas, à elle seule, de conclure à un problème de confidentialité. Elle impose en revanche de lire avec attention les conditions d’utilisation et d’évaluer le niveau de confiance accordé au fournisseur.

Quelles données DeepSeek dit-il collecter ?

La politique de confidentialité de DeepSeek mentionne la collecte de plusieurs catégories d’informations, dont les adresses IP, les informations sur les appareils et les rythmes de frappe. Selon les éléments soulevés dans le débat public, ces données sont stockées en Chine.

Ces catégories ne se valent pas toutes, mais elles peuvent se compléter. Une adresse IP peut renseigner sur le réseau depuis lequel un service est utilisé et permettre une localisation approximative. Les informations sur l’appareil peuvent inclure des caractéristiques techniques utiles à la compatibilité ou à la sécurité. Les rythmes de frappe renvoient, quant à eux, à la manière de taper sur un clavier, par exemple la vitesse ou l’intervalle entre les touches, et non nécessairement au contenu du texte lui-même.

Le fait qu’un service stocke des données dans un pays donné ne démontre pas, à lui seul, qu’une autorité y accède effectivement. En revanche, le lieu de stockage et le cadre juridique applicable comptent dans l’évaluation du risque, en particulier pour des organismes publics qui manipulent des informations sensibles.

Le rôle de China Mobile au cœur des alertes

Les préoccupations ont pris une dimension plus grave après des signalements de chercheurs en sécurité. Ceux-ci ont relevé dans des composants du système de DeepSeek des éléments liés à China Mobile, un groupe de télécommunications détenu par l’État chinois et visé par des restrictions américaines.

Dans ce contexte, l’enjeu n’est pas seulement commercial. Les critiques redoutent que des données d’utilisation puissent être transférées vers une entreprise d’État chinoise ou deviennent accessibles dans un environnement juridique où les autorités disposent de larges prérogatives. Cette hypothèse alimente les demandes de restrictions, surtout pour les appareils qui donnent accès à des réseaux publics, à des bases de données administratives ou à des documents non publics.

Il est toutefois essentiel de distinguer plusieurs niveaux d’affirmation. Le repérage de composants ou de connexions techniques associés à China Mobile constitue un signal de sécurité qui mérite un examen. Il ne prouve pas, à lui seul, qu’une autorité chinoise consulte les données individuelles de tous les utilisateurs de DeepSeek, ni que l’intégralité des conversations est transmise à cette entreprise.

Quelles restrictions sont déjà en place au 8 février 2025 ?

La réponse des autorités n’est pas uniforme. Certaines mesures concernent uniquement les appareils professionnels ou gouvernementaux, d’autres vont plus loin. Dans tous les cas, elles témoignent d’un principe de précaution : éviter qu’un outil dont les flux de données interrogent soit utilisé dans des environnements sensibles.

Aux États-Unis, le républicain Darin LaHood, élu de l’Illinois, et le démocrate Josh Gottheimer, élu du New Jersey, ont engagé une démarche bipartisane pour interdire DeepSeek sur les appareils du gouvernement fédéral. L’objectif affiché est de protéger les données des citoyens et des institutions américaines contre une menace jugée potentielle pour la sécurité nationale.

À cette date, une proposition de loi ne doit pas être confondue avec une interdiction fédérale déjà appliquée à l’ensemble du territoire américain. Les annonces d’administrations, les restrictions locales et le débat législatif correspondent à des niveaux de décision distincts. Cette nuance est particulièrement importante pour les particuliers, qui peuvent voir circuler le terme d’« interdiction » alors que les mesures les plus immédiates concernent souvent les équipements publics ou professionnels.

Pourquoi la comparaison avec TikTok revient-elle souvent ?

Le cas DeepSeek rappelle les controverses qui entourent TikTok, autre application associée à une entreprise chinoise et régulièrement visée par des inquiétudes sur l’accès aux données des utilisateurs. Dans les deux dossiers, le débat dépasse la technique : il interroge la dépendance à des plateformes étrangères, l’accès potentiel aux informations personnelles et la capacité d’un État à imposer ses règles aux entreprises installées sur son territoire.

La comparaison a néanmoins ses limites. TikTok est avant tout un réseau social, centré sur la diffusion de vidéos et les interactions entre utilisateurs. DeepSeek est un outil d’IA générative, auquel une personne peut directement soumettre des questions, des documents ou des instructions. Le risque principal ne se situe donc pas seulement dans les données de navigation, mais aussi dans le contenu que l’utilisateur choisit d’envoyer au modèle.

L’origine chinoise d’une application ne constitue pas une preuve de comportement illégal ou d’espionnage. Mais les signalements techniques concernant China Mobile, le stockage annoncé en Chine et le statut stratégique de l’IA expliquent que DeepSeek fasse l’objet d’une attention renforcée. Les autorités cherchent moins à trancher un débat théorique qu’à réduire une exposition potentielle sur leurs propres réseaux.

Quels risques pour les particuliers et les organisations ?

Pour un particulier, l’usage d’un assistant d’IA implique déjà de réfléchir à ce qui est saisi dans la conversation. Cette règle vaut pour DeepSeek comme pour n’importe quel service en ligne. Il est prudent de ne pas transmettre de document d’identité, de coordonnées bancaires, de mots de passe, de données médicales ou de fichier professionnel confidentiel à un outil dont les conditions de traitement des données ne correspondent pas à ses exigences.

Pour une entreprise ou une administration, la prudence doit être plus structurée. L’enjeu ne se limite pas à l’utilisateur isolé : une simple requête peut contenir une information relevant du secret des affaires, d’un marché public, d’une recherche en cours ou de la sécurité informatique.

Des mesures simples peuvent limiter l’exposition :

• séparer les usages personnels et professionnels de l’IA ;
• interdire la copie de données confidentielles dans les assistants ouverts au public ;
• vérifier les lieux de stockage et les conditions de traitement des données ;
• utiliser des outils approuvés par l’organisation pour les tâches sensibles ;
• sensibiliser les équipes à la différence entre une question anodine et une information exploitable.

L’IA devient un terrain de rivalité entre Washington et Pékin

L’affaire DeepSeek illustre une transformation plus large : l’intelligence artificielle est devenue un domaine de compétition géopolitique majeur entre les États-Unis et la Chine. Les modèles de langage ne sont plus seulement des produits numériques. Ils concentrent des capacités de calcul, des investissements considérables, des talents scientifiques et des données susceptibles d’avoir une valeur économique ou stratégique.

La progression de DeepSeek bouscule cet équilibre. En démontrant qu’un acteur chinois peut proposer une IA techniquement ambitieuse et très accessible, l’entreprise met les concurrents américains sous pression. Mais elle se heurte aussi à une méfiance grandissante de la part de gouvernements occidentaux, qui considèrent les données et les infrastructures numériques comme des sujets de souveraineté.

Le débat oppose ainsi plusieurs impératifs légitimes, mais difficiles à concilier : encourager l’innovation, garantir la concurrence, protéger la vie privée et limiter les risques pour la sécurité nationale. Les applications d’IA sont particulièrement exposées à cette tension parce qu’elles peuvent être utilisées à la fois par le grand public, les entreprises, les universités et les administrations.

Ce qu’il faut surveiller

Les semaines suivant le 8 février 2025 devront permettre de préciser plusieurs points. Le premier est l’avenir de la proposition américaine portée par Darin LaHood et Josh Gottheimer : son adoption éventuelle déterminerait si les restrictions fédérales changent d’échelle. Le deuxième concerne les analyses techniques : elles devront établir plus précisément la nature des flux de données associés à China Mobile et les informations effectivement concernées.

Il faudra aussi observer la réponse de DeepSeek. Dans ce type de crise, une entreprise peut chercher à clarifier ses pratiques de collecte, à améliorer la transparence de ses infrastructures ou à adapter son service aux exigences des pays où elle souhaite opérer. Enfin, les décisions prises en Italie, en Australie, en Corée du Sud, au Texas et dans les agences fédérales américaines pourraient inspirer d’autres administrations.

Le cas DeepSeek pourrait ainsi devenir un précédent. Il rappelle que la bataille de l’IA ne se joue pas uniquement sur la qualité des réponses d’un modèle ou sur son prix, mais aussi sur la gouvernance des données, les règles de sécurité et la confiance que les utilisateurs peuvent raisonnablement accorder à l’outil.