DeepSeek en production : conformité, censure et données

L’article 4 de la série a détaillé l’API et sa facturation. Mettre DeepSeek en production demande une étape de plus : anticiper les zones d’ombre du modèle avant qu’elles ne deviennent un incident. Trois sujets se traitent dans cet ordre : où envoyer les requêtes, comment gérer la censure intégrée aux poids, et comment compenser des garde-fous insuffisants.

Le but de cet article reste opérationnel. Il s’agit de livrer une application qui tient la route en Europe ou dans un secteur réglementé, en tirant parti des forces du modèle sans tomber dans ses pièges.

Le choix d’hébergement : la décision qui conditionne le reste

L’API officielle de DeepSeek fonctionne sur des serveurs en Chine. Dès que vos requêtes contiennent des données personnelles de résidents européens, vous organisez donc un transfert hors de l’Union, soumis au chapitre V du RGPD. La Chine ne bénéficie d’aucune décision d’adéquation de la Commission européenne, et la loi chinoise permet aux autorités d’accéder aux données détenues par les entreprises du pays.

Ce que les régulateurs ont déjà fait

La Garante italienne a ordonné le 30 janvier 2025 la limitation du traitement des données des utilisateurs italiens, après que DeepSeek a soutenu que le RGPD ne s’appliquait pas à lui. En juin 2025, l’autorité de protection des données de Berlin a demandé à Apple et Google de retirer l’application de leurs boutiques en Allemagne, en jugeant illégaux les transferts vers la Chine. La CNIL, ses homologues irlandais, belge et néerlandais ont également ouvert des analyses ou des enquêtes, et le Comité européen de la protection des données coordonne désormais ces travaux. DeepSeek a fini par désigner un représentant dans l’Union en mai 2025, mais aucune de ces procédures n’a abouti à un feu vert.

Un autre front s’est refermé en 2026. Le 30 avril, l’autorité italienne de la concurrence a clos son enquête sur les « hallucinations » en acceptant les engagements de DeepSeek : l’entreprise affiche désormais en permanence, en italien, un avertissement sur le risque de réponses inexactes.

L’AI Act s’ajoute au RGPD

Depuis le 2 août 2025, les fournisseurs de modèles d’IA à usage général doivent respecter les obligations de l’AI Act : documentation technique, résumé des données d’entraînement, respect du droit d’auteur. DeepSeek n’a pas signé le code de bonnes pratiques proposé par la Commission, contrairement à OpenAI, Anthropic ou Mistral. Depuis le 2 août 2026, la Commission peut contrôler ces obligations et sanctionner les manquements, et les règles de transparence de l’article 50 s’appliquent aux applications qui génèrent du contenu. Si votre produit s’adresse au public, vous devez donc signaler l’usage de l’IA, quel que soit le modèle choisi.

Les trois options d’hébergement

Trois options existent pour utiliser DeepSeek en production en Europe, et la sensibilité de vos données guide le choix.

L’API officielle, pour quoi exactement

L’adresse api.deepseek.com reste utilisable pour deux familles d’usages. Le prototypage et les tests internes sans données réelles en font partie. Les traitements qui ne manipulent aucune donnée personnelle s’y prêtent aussi : analyse de données publiques, contenus marketing à partir de briefs anonymisés, journaux techniques pseudonymisés. Pour tout le reste en Europe, passez par les deux autres options.

Les hébergeurs tiers, la voie médiane

Pour la plupart des projets, cette option offre le meilleur équilibre entre conformité et effort. Plusieurs hébergeurs servent les poids DeepSeek hors de Chine, avec une API compatible OpenAI. Microsoft Foundry propose par exemple V4-Pro et V4-Flash dans son catalogue, et OpenRouter regroupe plusieurs fournisseurs. Avant de signer, vérifiez trois points : la version exacte du modèle servie, la région où les requêtes sont traitées et le contrat de sous-traitance proposé. Vous gagnez un contrat opposable, une localisation contractuelle des données et la sortie de la juridiction chinoise, pour un prix souvent proche du tarif officiel.

L’auto-hébergement, pour les données sensibles

Pour les données réglementées, dans la santé, la finance, les ressources humaines ou la défense, et pour le code propriétaire, l’auto-hébergement reste la seule réponse complète. V4-Flash tient sur deux GPU H200 chez un hébergeur européen, avec vLLM ou SGLang qui exposent une API compatible OpenAI. V4.1-Flash et V4-Pro demandent une infrastructure de datacenter. L’article 3 de la série détaille le matériel nécessaire.

La censure : ce qu’elle change réellement dans vos sorties

La censure politique de DeepSeek est apprise par le modèle lui-même. Elle s’applique donc aussi en auto-hébergement, et aucun réglage ne permet de la désactiver. Comprendre comment elle se manifeste évite les surprises en production.

Les sujets concernés et la forme du refus

Promptfoo a publié un jeu de 1 360 questions sensibles pour le pouvoir chinois, et R1 en a refusé ou détourné environ 85 %. Le CAISI, l’organisme d’évaluation du NIST américain, a mesuré en septembre 2025 que les modèles DeepSeek reprenaient quatre fois plus de récits inexacts ou trompeurs du Parti communiste chinois que les modèles américains de référence. Les principales familles de sujets touchés sont bien identifiées.

• Les événements historiques en font partie, comme Tiananmen en 1989, la Révolution culturelle ou le Grand Bond en avant.
• Les questions territoriales suivent, avec le statut de Taïwan, les manifestations de Hong Kong, le Tibet et le Xinjiang.
• Plusieurs personnalités sont protégées, en particulier Xi Jinping, et les dissidents sont passés sous silence.
• Les mouvements et les minorités sont aussi concernés, comme le Falun Gong et les Ouïghours.
• La critique du Parti communiste chinois et la comparaison avec les démocraties déclenchent enfin le filtre.

Le refus prend deux formes repérables. La première est un message court qui propose de parler d’autre chose. La seconde est une réponse alignée sur la position officielle, avec son vocabulaire habituel de coopération « gagnant-gagnant » et d’harmonie sociale. Dans le chat, le modèle commence parfois une réponse pertinente, puis l’efface en cours d’affichage pour la remplacer par un refus.

Ces mesures portent sur R1 et V3. Aucune évaluation publique d’ampleur n’a encore été publiée sur V4.1-Flash, mais les utilisateurs constatent le même comportement sur les sujets les plus sensibles, et rien n’indique que DeepSeek ait changé de ligne.

Le piège silencieux : l’altération sans refus visible

Pour la production, le refus pose moins de problèmes que l’altération silencieuse. Des développeurs qui ont confié à DeepSeek la traduction de jeux de données ou le résumé de documents signalent des phrases manquantes, des reformulations adoucies et des omissions ciblées, sans aucun message d’erreur. Le modèle exécute la tâche, mais il retire au passage ce qu’il considère sensible. Sur des traitements de volume que personne ne relit, cela devient un problème d’intégrité des données.

Si votre pipeline traite des contenus qui touchent à la Chine, ajoutez une étape de contrôle. Comparez la longueur de l’entrée et de la sortie, vérifiez que les noms propres importants de la source figurent dans le résultat, ou faites repasser les fragments à risque par un autre modèle.

Les formulations qui évitent les blocages

Pour les usages qui touchent ponctuellement à un sujet sensible sans intention politique, plusieurs formulations documentées par les chercheurs permettent d’obtenir une réponse.

• La question peut éviter de nommer la Chine, en décrivant les faits sans les termes qui déclenchent le filtre.
• Un cadrage historique ou universitaire, qui compare des sources au lieu de demander un fait brut, passe plus souvent.
• Un cadre fictionnel, comme une scène de roman où un personnage raconte l’événement, emprunte une autre voie de génération.

Ces formulations ne suppriment pas le biais de fond. Vous obtenez une information orientée sur ces sujets, qu’il faut vérifier ailleurs. Pour un usage éditorial ou pédagogique qui porte sur la Chine, un autre modèle reste préférable.

Quand la censure ne change rien à votre projet

Pour la grande majorité des usages (code, extraction de données, classification, traduction de contenus non politiques, agents techniques, rédaction marketing), la censure de DeepSeek n’a aucun effet. Ces précautions concernent les pipelines qui traitent des contenus géopolitiques, journalistiques, éducatifs ou historiques liés à la Chine. Si votre projet n’y touche jamais, passez à la section suivante.

Des garde-fous faibles : pourquoi l’architecture compte

En janvier 2025, Cisco et l’université de Pennsylvanie ont soumis R1 à 50 demandes malveillantes du benchmark HarmBench, couvrant la cybercriminalité, la désinformation, les activités illégales et les risques chimiques ou biologiques. Le modèle n’en a bloqué aucune. En septembre 2025, le CAISI a confirmé le diagnostic sur une version plus récente : le modèle le plus sûr de DeepSeek répondait encore à 94 % des demandes ouvertement malveillantes contournées par des techniques courantes, contre 8 % pour les modèles américains de référence.

Agents based on DeepSeek’s most secure model (R1-0528) were, on average, 12 times more likely than evaluated U.S. frontier models to follow malicious instructions

Ce dernier point pèse lourd depuis que DeepSeek met l’accent sur les agents. Un agent qui lit une page web, un e-mail ou un document peut y trouver des instructions cachées, et un modèle facile à détourner exécute ces instructions avec vos droits. Aucune évaluation indépendante comparable n’a encore été publiée sur V4.1-Flash, et il serait imprudent de supposer que le problème a disparu.

L’effet des mots sensibles sur la qualité du code

CrowdStrike a publié en novembre 2025 une étude peu intuitive. Quand le prompt contient des termes sensibles pour le pouvoir chinois (Tibet, Falun Gong, Ouïghours), même sur une tâche de code sans rapport avec la politique, la part de code comportant des failles graves augmente de près de 50 %. Sur un prompt neutre, le taux de base est de 19 %, comparable aux autres modèles. L’équipe a aussi observé que le modèle planifie parfois correctement une réponse dans son raisonnement, puis refuse au dernier moment d’écrire le code. Le contexte de votre application (noms de variables, commentaires, nom du projet) peut donc influencer la qualité de manière inattendue.

L’architecture à prévoir

La conclusion opérationnelle est simple : n’exposez jamais DeepSeek directement au public. Le modèle doit travailler derrière vos propres garde-fous, organisés en trois couches.

Les outils à brancher

Plusieurs solutions s’intègrent en quelques heures à une application existante.

• Llama Guard, le modèle de classification de Meta, se place en auto-hébergement devant DeepSeek pour filtrer les requêtes.
• Lakera Guard détecte les injections de prompt et les tentatives de contournement, sous forme de service en ligne.
• NVIDIA NeMo Guardrails permet d’écrire des règles de comportement déterministes, et il est open source.
• Portkey joue le rôle de passerelle et applique des garde-fous avant et après chaque appel.
• Promptfoo teste votre application contre les attaques connues avant la mise en production.

La liste de contrôle avant la mise en ligne

Avant le passage en production, parcourez cette liste. Elle reprend les trois sujets de l’article et permet de vérifier qu’aucun point critique n’a échappé à l’équipe.

Conformité des données

• L’hébergement retenu figure dans le registre des traitements.
• Un contrat de traitement est signé avec l’hébergeur tiers, ou les conditions de l’auto-hébergement sont documentées.
• La politique de confidentialité mentionne DeepSeek et la localisation des données.
• Une analyse d’impact a été menée si le traitement présente un risque élevé.
• Aucune donnée personnelle ne transite par api.deepseek.com, sauf exception validée.
• L’application signale aux utilisateurs qu’ils échangent avec une IA, comme l’exige l’AI Act.

Censure et intégrité

• Le pipeline a été testé sur une dizaine de questions touchant aux sujets sensibles pour vérifier son comportement réel.
• Les traductions et résumés liés à la Chine passent par un contrôle d’intégrité.
• Les utilisateurs savent, si l’usage le justifie, que les réponses peuvent être biaisées sur certains sujets.

Sécurité applicative

• Un filtre d’entrée bloque les contournements, les injections et les contenus toxiques.
• Un filtre de sortie contrôle la modération, les données personnelles et les contenus dangereux.
• Les agents disposent des droits minimaux, et leurs lectures externes sont filtrées.
• Les prompts système ne contiennent aucun mot sensible sans raison fonctionnelle.
• L’application a été testée avec Promptfoo ou un outil équivalent.
• Les journaux sont conservés pour l’audit, selon la durée prévue par votre politique.

Ce qu’il faut retenir

DeepSeek s’utilise en production en Europe à condition de prendre trois décisions à l’avance. Choisissez d’abord l’hébergement : un hébergeur tiers hors de Chine pour la plupart des projets, l’auto-hébergement pour les données réglementées, l’API officielle seulement sans données personnelles. Identifiez ensuite si vos pipelines touchent aux sujets censurés, et ajoutez un contrôle d’intégrité si c’est le cas. Bâtissez enfin vos propres garde-fous, car le modèle n’en fournit pas de solides, surtout pour les agents.

Aucun de ces sujets n’est rédhibitoire. Chacun se traite en quelques heures ou quelques jours de travail selon l’exposition de votre produit, et les études de Cisco, CrowdStrike, Promptfoo et du CAISI donnent les références pour décider en connaissance de cause.