§ Guide · DeepSeek
DeepSeek : trois portes d'entrée, trois sorts pour vos données
En une phrase
DeepSeek est un laboratoire chinois d'IA, installé à Hangzhou, qui diffuse ses modèles par une application, une API et des poids téléchargeables. Pour une entreprise, la question n'est pas la puissance du modèle : c'est la porte par laquelle on y entre.
- Politique de confidentialité du 10 février 2026
- Actes du Garante, de Berlin et du CEPD, consignes de la CNIL
- Mis à jour le 11 novembre 2026
Réponse directe
DeepSeek, c'est quoi ?
DeepSeek est un assistant IA et une famille de modèles de langage édités par Hangzhou DeepSeek Artificial Intelligence, en Chine. Son application et son API envoient les données en Chine continentale, d'après sa propre politique de confidentialité. Ses modèles V4, publiés sous licence MIT, peuvent en revanche tourner sur un serveur que vous maîtrisez, sans rien renvoyer à DeepSeek.
Qui édite DeepSeek, et ce qu'il publie
DeepSeek est édité par Hangzhou DeepSeek Artificial Intelligence Co., Ltd., dont l'adresse enregistrée est en Chine, selon sa politique de confidentialité. Le laboratoire diffuse ses modèles par trois canaux : un chat sur le web et une application mobile, une plateforme d'API payante, et des poids téléchargeables sur Hugging Face.
Le journal des modifications de l'API donne le calendrier récent : V4 Pro en version finale le 13 août 2026, V4.1 Flash le 10 septembre, puis V4.1-Flash-1017 le 17 octobre, qui a remplacé les anciens Flash. Dans l'application, V4 Pro s'active par le « Expert Mode ». Côté API, deux noms d'appel suffisent : deepseek-flash et deepseek-v4-pro.
Je lis DeepSeek comme deux produits qui partagent un nom : un service hébergé en Chine, et une famille de fichiers de modèle que n'importe qui peut héberger. Le débat public les mélange souvent ; une décision d'entreprise ne doit pas le faire. Le cadre général d'une PME qui utilise l'IA est dans notre calendrier de l'AI Act ; ici, je m'en tiens à DeepSeek.
Flash ou Pro : versions, contexte, prix et poids ouverts
| Nom d'appel | Version | Contexte et vision | Entrée (cache raté) / sortie | Poids ouverts |
|---|---|---|---|---|
| deepseek-flash | DeepSeek-V4.1-Flash-1017, 17 octobre 2026 | 1 M jetons, images comprises | 0,15 $ / 0,60 $ | Licence MIT, 510 Go |
| deepseek-v4-pro | DeepSeek-V4-Pro-0813, 13 août 2026 | 1 M jetons, texte seul | 0,66 $ / 1,98 $ | Licence MIT, 893 Go |
L'application et le site : ce que vous tapez part en Chine continentale
La politique de confidentialité, mise à jour le 10 février 2026, est nette : DeepSeek collecte, traite et stocke directement les données personnelles en République populaire de Chine. Elles comprennent vos textes, votre voix, vos fichiers et vos photos, l'historique des conversations, le modèle de l'appareil, l'adresse IP et une localisation approximative. DeepSeek ajoute que le service n'est pas conçu pour traiter des données sensibles (origine, religion, santé, vie sexuelle, données génétiques ou biométriques, géolocalisation précise) et demande de ne pas en saisir.
Trois autres clauses pèsent sur une entreprise.
- L'entraînement. Les données servent à améliorer et à entraîner les modèles, avec une case à décocher, « Améliorer le modèle pour tous ». La CNIL indique le chemin dans les paramètres, sans se prononcer sur la conformité du procédé.
- Les tiers. La politique prévoit des entités du groupe pour le stockage, la sécurité et l'entraînement des modèles, des prestataires (une API de recherche tierce reçoit vos mots-clés) et la communication aux autorités quand la loi ou une procédure l'exige.
- Le droit applicable. Les conditions d'utilisation du 27 mars 2026 soumettent tout litige au droit de la Chine continentale, devant le tribunal du siège de DeepSeek.
Je n'y trouve ni contrat de sous-traitance ni clauses contractuelles types : DeepSeek se présente comme responsable du traitement, et ne parle que de « garanties appropriées » là où elles sont requises. La politique nomme désormais un représentant dans l'Union, Prighter Group, et détaille ses bases légales pour l'EEE. Le Garante reprochait l'absence de représentant en janvier 2025. L'hébergement, lui, n'a pas bougé.
Ce que les autorités européennes ont décidé
- 30 janvier 2025, Italie. Le Garante déclare le traitement illicite (articles 6, 12, 13, 14, 27, 31 et 32 du RGPD) et ordonne une limitation définitive du traitement des données des personnes situées en Italie, avec effet immédiat, en se réservant d'autres mesures. Il relève que la politique annonce un stockage en Chine, contraire selon lui aux garanties du RGPD.
- 12 février 2025, Union. Le Comité européen de la protection des données intègre les enquêtes sur DeepSeek à sa task force dédiée à ChatGPT, selon la CNIL.
- 14 février 2025, Allemagne. Sept autorités de Land lancent des procédures coordonnées, d'abord sur l'obligation de désigner un représentant dans l'Union.
- 27 juin 2025, Berlin. La commissaire juge le transfert vers la Chine illicite au titre de l'article 46, paragraphe 1, du RGPD, faute de preuve d'une protection équivalente, et signale l'application à Apple et à Google comme contenu illicite (article 16 du règlement sur les services numériques).
La liste des pays reconnus adéquats par la Commission européenne ne contient pas la Chine. Pour un transfert vers un pays hors liste, le RGPD demande des garanties appropriées, que Berlin a jugées non démontrées.
La CNIL, elle, publie surtout des consignes. Dans son questions-réponses sur l'IA générative, elle écrit que lorsque des données personnelles risquent de sortir de l'Union, l'organisme utilisateur doit encadrer leur traitement par le destinataire, et que pour un service par API, la maîtrise est presque entièrement chez le fournisseur.
Mon avis : ces actes s'appuient sur ce que DeepSeek écrit lui-même. Aucun ne dit que le modèle est dangereux. Ils disent que le transfert vers la Chine ne repose sur aucun mécanisme que l'éditeur ait démontré. Votre risque est donc simple à nommer : chaque nom de client, de salarié ou de candidat saisi dans l'application est un transfert que vous devrez justifier.
Application, API, poids ouverts : où vos données se posent
| Porte | Où vos données se posent | Ce que vous signez | Mon verdict |
|---|---|---|---|
| Application et site de DeepSeek | Chine continentale, selon la politique du 10 février 2026 | Les conditions de DeepSeek, soumises au droit chinois | Textes publics seulement, adresse pro dédiée, entraînement désactivé |
| API de DeepSeek (api.deepseek.com) | Une seule adresse d'appel dans la documentation ; la politique ne cite que la Chine continentale | Les mêmes conditions | Tests sur données publiques ; jamais le flux d'un client |
| Modèle ouvert chez un hébergeur (exemple : Microsoft Foundry) | Chez l'hébergeur : un déploiement Data Zone reste dans la zone UE, un déploiement Global peut traiter dans n'importe quelle région Azure | Le contrat de l'hébergeur : à lire pour le rôle de sous-traitant et le lieu de traitement | Raisonnable si la version voulue est proposée en zone UE : à vérifier avant de signer |
| Modèle ouvert sur votre serveur | Chez vous | La licence MIT | La voie la plus sûre pour des données clients, et la plus chère |
L'API : bon marché, et la même destination que l'application
L'API répond au format OpenAI et au format Anthropic (l'adresse api.deepseek.com/anthropic), et sa documentation explique comment brancher DeepSeek comme modèle d'arrière-plan de Claude Code, de Codex ou d'OpenCode. C'est le prix qui séduit : 0,60 $ le million de jetons de sortie pour Flash en heures creuses.
C'est aussi le cas où je freine. Brancher un assistant de code sur DeepSeek, c'est envoyer du code source, des fichiers de configuration et parfois des clés à un serveur en Chine continentale. La politique mentionne la plateforme ouverte pour les données de paiement et ne cite qu'un lieu de stockage ; tant que DeepSeek n'écrit pas le contraire, je pars du principe que vos requêtes y arrivent. Sur le code d'un client, je le déconseille. Sur un projet ouvert, c'est un arbitrage de coût.
Les poids ouverts : le fichier est libre, la machine ne l'est pas
Les fiches Hugging Face de V4.1-Flash-1017 et de V4-Pro-0813 placent le dépôt et les poids sous licence MIT. Exécuté chez vous, le modèle ne renvoie rien à DeepSeek, et la CNIL note que dans un déploiement sur site, aucune réutilisation des données par le fournisseur n'est possible.
Reste le matériel. Les poids de Flash-1017 pèsent 510 Go, ceux de Pro-0813 environ 893 Go (somme des fichiers des dépôts). L'exemple d'inférence de DeepSeek pour Flash répartit le modèle sur huit processus parallèles, celui de Pro le sert sur un nœud de quatre GB300. Ce n'est pas un poste de travail. Hermes Agent propose V4 Flash parmi ses modèles locaux : la qualité sur vos tâches et le coût du matériel restent à tester, je ne les ai pas mesurés.
Un détail de lecture : la commande de service de V4-Pro dans le dépôt passe l'option --trust-remote-code, qui exécute du code téléchargé avec le modèle. Fixez la révision, faites relire ce code avant de le lancer sur un serveur qui voit vos dossiers.
Pour une PME, je déconseille de commencer par là, et la CNIL rappelle que le coût d'installation et d'exploitation fait souvent préférer un hébergement distant sous contrat. Ce qu'on installe, de l'interface au moteur, est détaillé dans notre billet sur l'IA auto-hébergée en PME.
Chez un hébergeur, regardez le type de déploiement. Microsoft écrit que ses modèles « vendus par Azure », DeepSeek compris, sont hébergés et exploités par Azure, et que sur les déploiements Global le traitement peut avoir lieu dans n'importe quelle région Azure, alors qu'un déploiement Data Zone reste dans la zone choisie. Demandez aussi quelle version de DeepSeek est proposée dans la zone UE : toutes ne le sont pas forcément.
Quand DeepSeek, quand pas
- 01 Vous voulez y coller des noms, des dossiers clients, des CV ou du code interne, dans l'application ou par l'API : non. Ces données partent en Chine continentale sans contrat de sous-traitance, et l'Italie comme Berlin ont jugé ce schéma illicite.
- 02 Vous voulez essayer le modèle sur des textes publics, une veille ou des brouillons sans donnée personnelle : oui, avec une adresse professionnelle dédiée et l'entraînement désactivé. C'est la ligne que la CNIL trace pour les usages non confidentiels.
- 03 Vous exercez dans la santé, le droit ou le chiffre : ni l'application ni l'API. La politique elle-même dit que le service n'est pas conçu pour des données sensibles.
- 04 Vous avez un serveur GPU, ou un hébergeur européen sous contrat, et des documents internes à interroger : les poids ouverts valent le détour. Commencez par Flash, et testez-le sur vingt de vos documents.
- 05 Il vous faut un assistant clé en main pour une équipe sans informaticien : DeepSeek n'est pas le bon outil. Comparez d'abord les assistants qui proposent des conditions professionnelles.
- 06 Un salarié l'utilise déjà sur son téléphone : c'est le cas le plus probable. Écrivez la règle avant d'interdire, et dites quelles données ne sortent jamais.
Mettez par écrit ce qui ne quitte jamais l'entreprise, avant que quelqu'un installe DeepSeek
- Le modèle complet en neuf articles, mis en page pour être imprimé et signé
- Les notes d'adaptation pour l'ajuster à votre entreprise
- Les champs que vous avez personnalisés sur la page, repris dans l'e-mail
- Un seul e-mail, sans inscription à une liste
Claude change peu de choses tant qu'il n'est pas branché sur vos outils et vos règles. Nous l'intégrons, et les clés restent chez vous.
Voir l'intégration de Claude →DeepSeek : les questions des dirigeants
Q.01 Les autorités européennes ont-elles interdit DeepSeek ?
Cela dépend du pays et de l'acte. En Italie, le Garante a ordonné le 30 janvier 2025 une limitation définitive du traitement des données des personnes situées en Italie. À Berlin, la commissaire a signalé l'application à Apple et à Google le 27 juin 2025, au titre du règlement sur les services numériques. Le Comité européen de la protection des données a intégré les enquêtes sur DeepSeek à sa task force dédiée à ChatGPT, élargie à l'IA. En France, la CNIL publie la marche à suivre pour refuser l'entraînement des modèles (page du 16 octobre 2025) et ses consignes sur l'IA générative en organisme.
Q.02 Mes données vont-elles en Chine si j'utilise DeepSeek ?
Dans l'application et sur le site, oui : la politique de confidentialité du 10 février 2026 dit que DeepSeek collecte, traite et stocke les données directement en Chine continentale. Pour l'API, je pars du même principe : la documentation n'indique qu'une adresse d'appel et la politique ne cite aucun autre lieu de stockage. Avec un modèle ouvert exécuté chez vous, rien ne repart chez DeepSeek. Chez un hébergeur comme Microsoft Foundry, c'est l'hébergeur qui traite vos données, dans la zone de traitement que vous avez choisie.
Q.03 Comment empêcher DeepSeek d'entraîner ses modèles sur mes conversations ?
Sur le site, ouvrez les Paramètres du compte, onglet Profil, et décochez « Améliorer le modèle pour tous ». Dans l'application mobile, Paramètres puis Contrôles des données, même case. Le chemin vient de la CNIL (page du 16 octobre 2025), qui précise qu'elle ne se prononce pas sur la conformité au RGPD du procédé. Désactiver l'entraînement ne change pas le lieu de stockage.
Q.04 Combien coûte l'API de DeepSeek ?
Par million de jetons, en heures creuses : deepseek-flash coûte 0,15 $ en entrée (cache raté) et 0,60 $ en sortie, deepseek-v4-pro 0,66 $ et 1,98 $. Aux heures pleines (01 h à 04 h et 06 h à 10 h UTC, du lundi au vendredi hors jours fériés chinois), les tarifs doublent. Une entrée lue dans le cache coûte beaucoup moins, 0,003 $ pour Flash. Ce sont les prix affichés par DeepSeek au 11 novembre 2026, qui se réserve le droit de les changer.
Q.05 V4 Pro ou V4.1 Flash : lequel choisir ?
Commencez par Flash. Il coûte 3,3 à 4,4 fois moins cher que Pro à l'API (0,60 $ contre 1,98 $ en sortie, 0,15 $ contre 0,66 $ en entrée), comprend les images (Pro est limité au texte) et ses poids pèsent 510 Go contre environ 893 Go pour Pro, ce qui compte si vous voulez l'héberger. Les deux offrent 1 million de jetons de contexte. Passez à Pro si Flash échoue sur vos propres tâches, pas sur un classement : testez avec vingt documents réels.
Q.06 Puis-je utiliser DeepSeek avec des données clients tout en respectant le RGPD ?
Pas par l'application ni par l'API de DeepSeek : la politique renvoie ces données en Chine continentale, sans contrat de sous-traitance, et l'Italie comme Berlin ont jugé ce schéma illicite. Avec un modèle ouvert sur votre serveur ou chez un hébergeur européen sous contrat, c'est possible, au même titre que n'importe quel modèle : base légale, registre, contrat avec l'hébergeur, durée de conservation. La CNIL le formule ainsi : quand l'infrastructure est hors UE ou opérée par un fournisseur non européen, l'utilisateur doit encadrer le traitement par le destinataire.
Sources
- DeepSeek, politique de confidentialité (mise à jour le 10 février 2026), lu le 11 novembre 2026
- DeepSeek, conditions d'utilisation (mise à jour le 27 mars 2026), lu le 11 novembre 2026
- DeepSeek API Docs, Models & Pricing, lu le 11 novembre 2026
- DeepSeek API Docs, journal des modifications, lu le 11 novembre 2026
- Hugging Face, fiche DeepSeek-V4.1-Flash-1017 (licence MIT), lu le 11 novembre 2026
- Hugging Face, fiche DeepSeek-V4-Pro-0813 (licence MIT), lu le 11 novembre 2026
- Garante per la protezione dei dati personali, provvedimento du 30 janvier 2025 [doc. web 10098477], lu le 11 novembre 2026
- Berlin Commissioner for Data Protection, communiqué du 27 juin 2025 sur DeepSeek, lu le 11 novembre 2026
- HBDI Hesse, « Prüfverfahren gegen DeepSeek eingeleitet » (février 2025), lu le 11 novembre 2026
- CNIL, retour sur la plénière du CEPD (février 2025), lu le 11 novembre 2026
- CNIL, comment s'opposer à la réutilisation de ses données pour l'entraînement d'agents conversationnels, lu le 11 novembre 2026
- CNIL, questions-réponses sur l'utilisation d'un système d'IA générative, lu le 11 novembre 2026
- Commission européenne, décisions d'adéquation, lu le 11 novembre 2026
- Microsoft Learn, Foundry Models sold directly by Azure, lu le 11 novembre 2026
- Microsoft Learn, Foundry Models deployment types, lu le 11 novembre 2026
Page mise à jour le par Simon Beros, fondateur de Waimia.