DeepSeek : le Congrès américain veut l’écarter des appareils gouvernementaux

L’ascension fulgurante de DeepSeek place désormais le chatbot chinois au cœur d’un débat politique américain familier : que se passe-t-il lorsqu’un outil numérique très populaire peut aussi traiter des informations saisies par des agents publics ? Le 7 février 2025, deux élus de la Chambre des représentants, le républicain Darin LaHood et le démocrate Josh Gottheimer, poussent une réponse nette : empêcher l’utilisation de DeepSeek sur les appareils du gouvernement des États-Unis.

L’enjeu ne porte pas seulement sur la qualité des réponses générées par cette intelligence artificielle. Il concerne les données qui peuvent accompagner chaque requête : texte collé dans une conversation, informations de connexion, données techniques de l’appareil ou éléments de contexte transmis au service. Dans les administrations, où un simple appareil professionnel peut donner accès à des informations sensibles, le principe de précaution prend une dimension particulière.

Une proposition bipartisane, pas encore une interdiction nationale

Le texte défendu par Darin LaHood, élu de l’Illinois, et Josh Gottheimer, élu du New Jersey, vise à interdire DeepSeek sur les appareils gouvernementaux américains. Son intitulé, No DeepSeek on Government Devices Act, s’inscrit dans une série de mesures américaines destinées à limiter l’exposition des institutions publiques à des applications perçues comme présentant un risque de sécurité.

Le fait que les deux initiateurs appartiennent à des partis opposés est significatif. Sur les questions relatives aux technologies chinoises, les préoccupations de sécurité nationale dépassent régulièrement les clivages habituels entre républicains et démocrates. Les élus estiment que l’État fédéral ne doit pas courir le risque de voir des données utiles à des puissances étrangères transiter par un outil dont il ne maîtrise ni l’infrastructure ni les pratiques de traitement.

Il faut toutefois distinguer une proposition de loi d’une règle déjà en vigueur. Au 7 février 2025, le dépôt de ce texte ne signifie pas que DeepSeek est interdit à tous les Américains, ni même qu’une interdiction fédérale uniforme est immédiatement applicable à l’ensemble des administrations. Pour devenir une loi, le texte doit être examiné par le Congrès, adopté par la Chambre des représentants et le Sénat, puis promulgué.

Pourquoi les données d’un chatbot inquiètent les administrations

Un chatbot d’intelligence artificielle n’est pas un simple logiciel installé localement sur un ordinateur. Dans la plupart des usages, une question est envoyée à des serveurs distants, où le modèle la traite avant de renvoyer une réponse. Cette opération peut impliquer des données que l’utilisateur a volontairement fournies, mais aussi des informations techniques nécessaires au fonctionnement du service.

Pour un particulier, la prudence consiste notamment à ne pas transmettre de mots de passe, de documents confidentiels, de données bancaires ou d’informations médicales dans une conversation avec une IA. Pour une administration, le niveau d’exigence est plus élevé : des notes de travail, des coordonnées, des éléments de dossiers ou des informations opérationnelles peuvent avoir une valeur stratégique, même s’ils ne sont pas classifiés.

C’est pourquoi le débat américain ne repose pas sur l’idée que chaque utilisateur de DeepSeek transmettrait automatiquement des secrets d’État. Il porte sur la possibilité qu’un service utilisé depuis un téléphone, une tablette ou un ordinateur professionnel collecte ou transfère des données dont l’administration ne peut pas contrôler pleinement le parcours.

DeepSeek désigne ici un chatbot et un service d’IA d’origine chinoise. Sa popularité rapide a attiré l’attention bien au-delà des cercles techniques. Mais plus un outil est simple à télécharger et à utiliser, plus il peut être difficile pour une organisation de vérifier qu’aucun agent ne s’en sert avec un compte ou un équipement professionnel, en dehors des logiciels officiellement autorisés.

Le rôle central de China Mobile dans les soupçons

Les parlementaires s’appuient notamment sur une analyse menée par Ivan Tsarynny, dirigeant d’une entreprise spécialisée dans la cybersécurité. Selon cette analyse, du code présent dans DeepSeek pourrait permettre la transmission d’informations de connexion vers China Mobile, un groupe chinois de télécommunications contrôlé par l’État.

Cette possible connexion est particulièrement sensible aux États-Unis. China Mobile ne peut pas fournir de services de télécommunications sur le marché américain, ce qui renforce les inquiétudes autour d’un éventuel accès à des données américaines par l’intermédiaire d’un autre type de produit numérique.

Il importe néanmoins de mesurer ce que démontre, et ce que ne démontre pas, une telle analyse. La présence d’un lien technique ou d’un composant logiciel susceptible de communiquer avec une entreprise donnée ne prouve pas, à elle seule, que des données gouvernementales précises ont été transmises ou consultées par les autorités chinoises. En revanche, pour les élus qui portent le texte, elle suffit à justifier une mesure préventive sur des appareils utilisés par l’État.

Cette logique est fréquente en cybersécurité : lorsqu’une institution ne peut pas établir avec certitude la destination, la conservation ou l’exploitation possible de certaines données, elle peut choisir d’écarter l’outil de ses environnements les plus sensibles. Il s’agit d’une politique de réduction du risque, non d’une démonstration publique de compromission.

Des restrictions déjà engagées aux États-Unis et à l’étranger

Avant même qu’une loi fédérale ne soit éventuellement adoptée, des organismes ont commencé à agir à leur propre niveau. La Marine américaine et la NASA figurent parmi les agences ayant déjà interdit ou restreint DeepSeek sur leurs appareils. Ces décisions internes traduisent une volonté de ne pas attendre l’issue du processus législatif pour encadrer les usages dans des environnements considérés comme sensibles.

À l’international, les réponses ne sont pas identiques, mais elles suivent la même préoccupation sur les données. L’Australie a demandé le retrait de DeepSeek de ses systèmes et appareils gouvernementaux. En Italie, l’autorité de protection des données a bloqué l’application dans le pays et l’a retirée des magasins d’applications, en soulevant des questions sur les informations personnelles traitées par le service.

Ces décisions ne reposent pas toutes sur le même fondement juridique. Une agence fédérale américaine peut édicter une règle interne pour ses employés. Un régulateur de la vie privée, comme en Italie, peut demander des garanties sur le traitement des données. Un gouvernement peut aussi imposer une consigne à l’ensemble de son administration. Mais elles témoignent toutes d’une même interrogation : quelles données sortent du périmètre de l’organisation lorsqu’un agent utilise un assistant d’IA ?

DeepSeek et TikTok : un parallèle utile, mais imparfait

Le cas DeepSeek rappelle immédiatement celui de TikTok. L’application de vidéos, détenue par le groupe chinois ByteDance, a déjà été interdite sur de nombreux appareils fédéraux américains à partir de 2022, en raison de préoccupations relatives à la collecte de données et à une possible influence étrangère.

La comparaison a ses limites. TikTok est un réseau social centré sur les vidéos, alors que DeepSeek est un outil d’IA générative avec lequel l’utilisateur échange directement du texte, du code ou des documents. Cette différence change la nature des informations potentiellement exposées : un agent public peut, par exemple, être tenté de soumettre à un chatbot une note de travail pour la résumer, la reformuler ou la traduire.

Dans les deux cas, l’interdiction sur les appareils de fonction ne signifie pas nécessairement qu’un produit est inaccessible au reste de la population. Elle reflète plutôt une obligation particulière des administrations : protéger les équipements, les comptes et les informations dont elles ont la responsabilité.

Ce que cela change pour les agents publics et les fournisseurs d’IA

Pour les agents de l’État, une éventuelle interdiction aurait une conséquence très concrète : DeepSeek ne devrait plus être téléchargé ou utilisé depuis les appareils relevant du périmètre gouvernemental. Les équipes informatiques devraient alors identifier l’application, en bloquer l’installation si nécessaire et rappeler les règles d’usage des outils d’IA.

La difficulté ne tient pas uniquement aux applications officielles. L’IA générative peut être utilisée depuis un navigateur, un téléphone personnel ou un compte créé en dehors des procédures de l’employeur. Une politique de sécurité efficace ne se limite donc pas au retrait d’une icône sur un écran : elle doit préciser quels services sont autorisés, quelles données ne doivent jamais être saisies et quelles alternatives sont disponibles pour travailler sans contourner les règles.

Cette séquence met également les entreprises d’IA face à une attente de transparence accrue. Les administrations veulent savoir où les données sont stockées, qui peut y accéder, pendant combien de temps elles sont conservées et si elles servent à entraîner ou améliorer les modèles. Ces questions concernent DeepSeek, mais elles valent pour tous les fournisseurs d’assistants conversationnels, quelle que soit leur nationalité.

Ce qu’il faut surveiller

La première question sera le parcours parlementaire du No DeepSeek on Government Devices Act. Le soutien de deux élus issus de partis différents donne au texte une portée politique, mais son adoption reste soumise aux étapes ordinaires du Congrès.

Il faudra aussi suivre les précisions techniques susceptibles d’émerger sur le fonctionnement de l’application et sur le lien signalé avec China Mobile. Une analyse indépendante, les réponses de DeepSeek aux autorités et les demandes des régulateurs peuvent faire évoluer l’évaluation du risque.

Enfin, le dossier DeepSeek pourrait accélérer une réflexion plus large sur l’IA dans le secteur public. Les administrations ont intérêt à tirer parti des gains de productivité promis par les assistants génératifs, mais elles doivent le faire avec des outils, des règles et des infrastructures compatibles avec la confidentialité des données publiques. Le débat américain montre que cette question ne relève plus seulement de l’informatique : elle devient un sujet de souveraineté, de sécurité et de confiance institutionnelle.