if ( !emtpy($headline_subheadline ) ) : ?>
Pour les dirigeants d’entreprise, cette commande met en évidence un défi plus vaste : identifier les modèles d’IA intégrés, tracer la destination des données et gérer les risques liés aux tiers.
endif; ?>
DeepSeek a subi un coup dur aux États-Unis, même s’il continue d’innover et de suivre le rythme, voire dans certains cas de surpasser, les modèles concurrents des laboratoires américains.
Le secrétaire américain à la Sécurité intérieure a publié une ordonnance interdisant tous les produits et services DeepSeek des agences fédérales. Les organisations gouvernementales doivent en purger leurs systèmes informatiques dans un délai de 60 jours ; ceux qui disposent d’une « justification impérieuse » peuvent présenter une demande d’exemption en faisant une demande écrite à la Cybersecurity and Infrastructure Security Agency (CISA).
Le Département de la Sécurité intérieure (DHS) a évoqué de multiples préoccupations concernant le modèle hébergé en Chine, notamment la souveraineté des données, le laxisme des lois chinoises et les vulnérabilités en matière de sécurité.
L’analyste Erik Avakian, conseiller technique chez Infotech, comprend l’inquiétude. « Lorsque les organisations utilisent n’importe quel type de service d’IA hébergé, elles envoient potentiellement de la propriété intellectuelle, des informations commerciales confidentielles ou d’autres données sensibles dans un environnement où elles peuvent avoir très peu de visibilité ou de contrôle sur ce qui arrive », a-t-il déclaré.
Préoccupations du gouvernement
Selon un document publié dans le Federal Register américain, toutes les technologies développées par la société chinoise Hangzhou DeepSeek Artificial Intelligence Co. seront interdites d’achat par les agences civiles fédérales. Cela inclut les produits affiliés et tous les outils ou logiciels tiers créés à l’aide des implémentations DeepSeek.
Les agences exécutives civiles concernées comprennent les ministères du Trésor, de l’État et de la Justice ; elle ne s’applique cependant pas aux consommateurs privés, au grand public, aux gouvernements étatiques/locaux ou aux systèmes de sécurité nationale du ministère de la Défense (DoD).
« Les modèles de DeepSeek présentent plusieurs vecteurs de menace », indique l’Ordre. Pour commencer, les serveurs de l’entreprise sont situés en République populaire de Chine (RPC), dont le système juridique accorde une « autorité étendue » aux fonctions gouvernementales de cybersécurité et de renseignement pour accéder aux infrastructures privées.
Le processus de génération de compte de DeepSeek collecte des informations personnelles identifiables (PII) et peut également suivre et empreintes digitales des utilisateurs, affirme l’ordonnance. Son processus de réponse rapide peut entraîner le transfert de données sensibles vers la RPC. Cela pourrait lui fournir des « renseignements exploitables » sur les programmes américains ou sur les utilisateurs individuels.
En outre, indique l’ordonnance, les modèles DeepSeek eux-mêmes peuvent contenir des logiciels malveillants ou d’autres vulnérabilités de sécurité. Le DHS a souligné une étude de sécurité open source publiée en février 2025 qui a révélé de nombreuses applications mobiles iOS présentant de multiples vulnérabilités critiques.
Jusqu’à ce que l’interdiction prenne pleinement effet, le DHS a conseillé aux agences d’atténuer les risques en surveillant le trafic de données entrant et sortant, en mettant en œuvre une journalisation et des contrôles améliorés sur l’exfiltration des données, ainsi qu’en détectant et en signalant les activités anormales.
Les agences peuvent soumettre des demandes d’exceptions à l’interdiction par écrit et doivent fournir une « justification convaincante », telle que son impact sur les fonctions critiques de leur mission, ou d’autres considérations liées à l’intérêt national telles que des examens de sécurité nationale, des enquêtes ou des accords de sécurité, comme raisons pour lesquelles une telle exemption devrait être accordée.
Les problèmes de sécurité sont endémiques
L’interdiction intervient au moment même où DeepSeek ouvre DeepInfer, son cadre d’interférence interne. DeepInfer alimente DeepSeek-V4.1-Flash avec ce que la société appelle un débit élevé et une faible latence. Il comporte des noyaux hautes performances, un moteur d’inférence optimisé, des sorties structurées et un décodage spéculatif.
DeepSeek a déclaré que ses composants de codage et de décodage de jetons de production, qui sont alignés sur la logique de traitement derrière l’API DeepSeek, apporteront le « même comportement d’API aux déploiements communautaires ».
« Modèles ouverts. Noyaux ouverts. Inférence ouverte », a publié DeepSeek sur le site de réseau social X. « Des déploiements privés aux cloud publics, nous continuerons à travailler avec la communauté pour rendre l’inférence à grande échelle plus efficace. »
Ce n’est pas le premier obstacle du point de vue de la cybersécurité. Plus particulièrement, en janvier 2025, la société a divulgué plus d’un million d’entrées de journal, notamment des historiques de discussion, des secrets d’API et d’autres informations sensibles, via une base de données non sécurisée.
DeepSeek aurait abordé l’exposition, mais cela soulève toujours des questions sur les pratiques de sécurité globales entourant la plateforme, en particulier pour les organisations envisageant de lui confier leurs propres informations commerciales sensibles, a souligné Avakian.
Cela ne veut pas dire que chaque modèle DeepSeek est « intrinsèquement malveillant », a-t-il déclaré, mais des questions majeures subsistent concernant la confidentialité des données, le potentiel d’accès aux informations en vertu des lois chinoises, la sécurité de l’écosystème plus large de l’IA et la susceptibilité des modèles DeepSeek aux jailbreaks et à la manipulation.
« Pris ensemble, (ces problèmes) soulèvent des inquiétudes légitimes quant à la capacité des organisations à comprendre et à gérer correctement les risques encourus », a déclaré Avakian.
Les entreprises devraient évaluer sérieusement les risques associés
Les entreprises explorent de plus en plus DeepSeek, même si l’adoption la plus publiquement documentée a eu lieu en Chine, a noté Avakian. Certains modèles DeepSeek ont également été mis à disposition via des plateformes telles que Microsoft Azure et AWS.
« Il existe un véritable intérêt des entreprises pour cette technologie, car elles recherchent des opportunités pour améliorer la productivité, offrir de nouvelles fonctionnalités ou réduire les coûts », a déclaré Avakian. Les applications utiles incluent le résumé de documents, la recherche interne et l’aide au codage.
DeepInfer a également le potentiel de réduire les coûts, mais les avantages possibles doivent être mis en balance avec les risques de sécurité associés, a-t-il souligné. Le cadre vient d’être publié, les organisations vont donc devoir valider les gains d’efficacité revendiqués dans leurs propres environnements plutôt que de supposer que les économies se traduiront automatiquement par une baisse des coûts d’exploitation.
Il a encouragé les organisations à commencer par des cas d’utilisation à risque relativement faible, en utilisant de préférence « des informations publiques, synthétiques ou correctement nettoyées », dans un environnement sandbox qu’elles contrôlent elles-mêmes.
La question importante à poser : « Quel est le problème commercial que nous essayons de résoudre ? » À partir de là, a déclaré Avakian, il faudra déterminer si DeepSeek est le meilleur moyen de résoudre le problème, valider les contrôles de sécurité et élargir les cas d’utilisation en fonction de la tolérance au risque. Une gouvernance et une évaluation des risques efficaces sont essentielles, a-t-il souligné : comprenez ce que vous introduisez dans votre environnement, validez sa sécurité, restreignez ses autorisations et assurez-vous de pouvoir surveiller ce qu’il fait.
« Abordez cela comme n’importe quelle autre décision relative à la chaîne d’approvisionnement logicielle », a conseillé Avakian. « Le fait qu’un produit soit open source, peu coûteux ou techniquement impressionnant ne le rend pas automatiquement approprié pour une utilisation en entreprise. »
Impact sur l’écosystème plus large de l’IA
Le fait que l’ordonnance concerne également les produits et services tiers développés à l’aide des implémentations DeepSeek est important, a déclaré Avakian, car les organisations peuvent utiliser les technologies DeepSeek indirectement, par l’intermédiaire de fournisseurs, de plates-formes logicielles ou d’autres services, sans nécessairement savoir ce qui se passe en dessous. « Ce sont des problèmes classiques de chaîne d’approvisionnement », a-t-il observé.
Il ne suffit plus de savoir quelles applications d’IA les employés utilisent ; Les entreprises doivent comprendre quels modèles, frameworks, dépendances et services externes sont intégrés dans les produits qu’elles achètent et déploient, a déclaré Avakian. Cela signifie revoir les inventaires d’IA, potentiellement mettre à jour les exigences en matière d’approvisionnement et étendre les processus autour de la gestion des risques liés aux tiers, a-t-il conseillé.
« En fin de compte, les entreprises qui exploitent ces outils doivent comprendre non seulement les technologies d’IA qu’elles déploient intentionnellement, mais également les technologies dont elles héritent par l’intermédiaire de tiers », a-t-il déclaré.
