DeepSeek en entreprise : ce que disent la documentation et les autorités

L'essentiel

• La politique de confidentialité de DeepSeek (mise à jour du 10/02/2026) indique que les données personnelles sont collectées, traitées et stockées en République populaire de Chine.

• L'autorité italienne (Garante) a ordonné le 30 janvier 2025 une limitation définitive du traitement des données des personnes situées en Italie.

• Application, API et poids ouverts : trois situations distinctes, avec des responsables de traitement et des conditions différents.

• Les conditions de la plateforme API consultées ne mentionnent ni lieu de stockage, ni durée de conservation, ni DPA.

• Aucune conclusion de conformité n'est donnée ici : à valider avec votre délégué à la protection des données.

C'est quoi DeepSeek et à quoi sert-il en PME ?

DeepSeek est un éditeur chinois de modèles d'IA, basé à Hangzhou, qui propose une application de conversation, une API payante pour développeurs et des modèles dont les poids sont publiés. Les usages plausibles en PME sont les mêmes que ceux des autres assistants : rédaction, analyse, code. Le sujet n'est pas la capacité de l'outil mais le traitement des données, d'où l'angle de cet article.

Sur quelles sources repose cet article ?

Nous avons testé DeepSeek. Cet article repose sur nos tests et sur la documentation officielle de DeepSeek, ainsi que sur des documents publics d'autorités, consultés le 23/10/2026. Nous ne tirons de ces tests aucun résultat chiffré, et le volet juridique ne s'appuie que sur les sources citées. Voici ce qui vient de quoi.

Que dit la documentation officielle de DeepSeek sur les données ?

La politique de confidentialité indique, dans sa version mise à jour le 10/02/2026 :

• Responsable : Hangzhou DeepSeek Artificial Intelligence Co., Ltd., société enregistrée en Chine.

• Hébergement : « we directly collect, process and store your Personal Data in People's Republic of China ». Des données peuvent aussi être stockées sur des serveurs hors de votre pays.

• Données collectées : compte (nom d'utilisateur, e-mail ou téléphone), contenus saisis (requêtes, voix, fichiers, photos, historique), données techniques (adresse IP, appareil, système) et usage. La politique demande de ne pas soumettre de données sensibles.

• Entraînement : les données servent à « entraîner et améliorer » les modèles ; les utilisateurs peuvent s'opposer à cet usage via leurs droits.

• Partage : prestataires, entités du groupe, tiers dans une opération d'entreprise, autorités quand la loi l'exige.

• Base juridique (EEE, Suisse, Royaume-Uni) : exécution du contrat, consentement, intérêts légitimes, obligations légales selon les finalités.

• Représentant dans l'UE et le Royaume-Uni : Prighter Group.

• Conservation : le temps nécessaire, par exemple tant que le compte existe.

Source : politique de confidentialité DeepSeek, consultée le 23/10/2026.

Quelles positions publiques des autorités de protection des données ?

Voici ce que nous avons pu confirmer, avec le niveau de preuve de chaque source.

Italie (Garante per la protezione dei dati personali), source primaire. Par décision du 30 janvier 2025, le Garante a ordonné une « limitation définitive du traitement » des données des personnes situées en Italie. Il a constaté, selon la décision, des manquements aux articles 6, 12 à 14, 27, 31 et 32 du RGPD, notamment : politique de confidentialité disponible uniquement en anglais, bases juridiques non précisées, données stockées en Chine selon la politique, absence de représentant dans l'UE. La mesure est sans préjudice de décisions ultérieures. Source : décision du Garante.

Allemagne (commissaire à la protection des données de Berlin), source primaire. Dans un communiqué du 27 juin 2025, la commissaire de Berlin, Meike Kamp, indique avoir signalé les applications DeepSeek à Apple et à Google comme contenu illicite, sur le fondement de l'article 16 du règlement sur les services numériques, pour qu'elles examinent un blocage en Allemagne. Le motif est le transfert de données personnelles d'utilisateurs allemands vers la Chine (article 46, paragraphe 1, du RGPD), sans décision d'adéquation ni garanties jugées suffisantes. Le communiqué rappelle qu'une demande du 6 mai 2025, invitant DeepSeek à retirer ses applications, à cesser les transferts ou à se mettre en conformité, était restée sans suite. Il ne dit pas ce qu'ont décidé Apple et Google, et nous n'avons pas trouvé de communiqué officiel ultérieur.

France (CNIL). Nous n'avons trouvé sur cnil.fr aucune page annonçant une décision, une sanction ou une interdiction concernant DeepSeek. La seule mention officielle retrouvée figure dans le compte rendu de la CNIL sur la plénière du CEPD du 12 février 2025 (publié le 20 février 2025) : le CEPD, qui réunit les autorités européennes, a décidé d'inclure les investigations concernant DeepSeek dans le champ de sa task force consacrée à ChatGPT. L'annonce par la CNIL, le 30 janvier 2025, d'une analyse du traitement des données et de questions posées à l'éditeur n'est relayée que par la presse (Clubic), sans page officielle retrouvée. Les suites éventuelles sont à demander à la CNIL.

Pays-Bas (Autoriteit Persoonsgegevens), source primaire. Dans un communiqué du 3 février 2025, l'autorité met en garde les utilisateurs, les invite à se demander s'ils veulent vraiment saisir des données personnelles ou sensibles dans l'application, et annonce une enquête plus large sur la transmission de données personnelles vers la Chine, en lien avec les autres autorités européennes. Ce texte n'annonce pas d'interdiction, et nous n'avons pas trouvé de publication officielle sur l'issue de cette enquête.

Autres pays, source secondaire. Un résumé d'agence repris par Boursorama évoque la Corée du Sud (suspension des nouveaux téléchargements en février, service de nouveau accessible fin avril), la République tchèque (interdiction dans l'administration publique, juillet) et d'autres gouvernements ayant restreint l'usage dans les services publics. Nous n'avons pas relu les décisions officielles correspondantes.

État au 23/10/2026. La seule mesure de limitation dont nous avons lu le texte officiel est la décision du Garante italien du 30 janvier 2025. Pour Berlin, la CNIL et l'autorité néerlandaise, nous n'avons trouvé aucune décision finale publiée. Une procédure peut avoir évolué sans communiqué que nous ayons retrouvé : interrogez chaque autorité avant de décider.

Ces positions concernent le service de DeepSeek, pas votre situation. Elles ne valent pas conclusion juridique.

Application, API ou modèles ouverts : quelle différence ?

Les trois ne placent pas vos données au même endroit.

Application : c'est la situation visée par les autorités citées ci-dessus.

API : les conditions de la plateforme ouverte (publiées le 22/04/2026, effectives le 29/04/2026) renvoient à la politique de confidentialité pour les données du développeur, ne mentionnent ni lieu de stockage, ni durée de conservation, ni DPA, et soumettent les litiges au droit chinois. Prix publiés : modèle deepseek-flash 0,15 $ (entrée, hors cache) et 0,60 $ (sortie) par million de jetons en heures creuses ; modèle deepseek-v4-pro 0,66 $ et 1,98 $, avec des tarifs doublés en heures de pointe. Source : conditions et tarifs API, consultés le 23/10/2026 (devise : symbole $, non nommée).

Poids ouverts : les fiches Hugging Face de DeepSeek-V3.2, de DeepSeek-V4-Pro et de DeepSeek-V4-Flash indiquent que le dépôt et les poids sont sous licence MIT. Il en va de même des fiches de DeepSeek-V4-Pro-0813 et de DeepSeek-V4.1-Flash-1017, les versions auxquelles correspondent deepseek-v4-pro et deepseek-flash sur la page de tarifs. Les télécharger et les faire tourner sur votre infrastructure ou chez un hébergeur de votre choix change le responsable du traitement : ce sont alors les conditions de cet hébergeur qui s'appliquent. Sources : fiche V3.2, fiche V4-Pro et fiche V4-Flash, consultées le 23/10/2026.

Quelles alternatives à DeepSeek ?

Voir Mistral (Le Chat), Claude, ChatGPT et notre page d'ensemble assistants IA. Prix : pages officielles consultées le 23/10/2026.

Pour qui DeepSeek est-il fait, et pour qui non ?

Cet article ne recommande ni n'interdit. Les éléments ci-dessus invitent à distinguer trois questions : quelles données seront saisies, par quel canal (application, API, modèle hébergé par vos soins) et qui sera responsable du traitement. Un usage sur des données publiques et un usage sur des données clients ne se posent pas de la même façon. La décision relève de votre direction, de votre délégué à la protection des données et de votre conseil.

Conclusion

DeepSeek soulève avant tout une question de gouvernance des données : lieu de stockage, base juridique, positions des autorités, canal d'accès. Clarifiez ces points avant tout usage sur des données d'entreprise. Le Cabinet Flourens vous aide à cadrer les usages de l'IA dans votre équipe.

Réservez la revue gratuite de 30 minutes du Cabinet Flourens.

Prix publiés en dollars par DeepSeek, convertis au taux de référence BCE du 23/10/2026 (1 € = 1,1193 $).