Pourquoi les modèles d’IA chinois à poids ouverts pourraient redessiner la course entre Washington et Pékin

La bataille de l’intelligence artificielle ne se joue plus uniquement dans les laboratoires, sur les tableaux de benchmarks. Elle se joue aussi dans la distribution : quelle entreprise peut mettre une IA suffisamment performante entre les mains du plus grand nombre de développeurs, à moindre coût et avec le moins de dépendance possible à une plateforme étrangère ?

DeepSeek, Kimi de Moonshot AI et Qwen d’Alibaba ont fait des modèles à poids ouverts un axe central de cette compétition. Selon une analyse de chercheurs de Stanford, les modèles chinois de ce type ont rapidement réduit l’écart avec leurs concurrents mondiaux et les ont parfois rejoints, voire dépassés, en matière de capacités et d’adoption. En septembre 2025, la famille Qwen a même dépassé Llama de Meta pour devenir la famille de grands modèles de langage la plus téléchargée sur Hugging Face. 18

Pour Washington, le dilemme est réel. Restreindre les modèles chinois peut réduire l’exposition dans les environnements sensibles. Mais une interdiction générale risquerait aussi de laisser à la Chine la couche ouverte du développement de l’IA, tout en privant les utilisateurs de la transparence et du contrôle local qui rendent ces modèles attractifs.

« À poids ouverts » ne veut pas dire « totalement open source »

Un modèle à poids ouverts met à disposition ses paramètres entraînés. Des tiers peuvent donc télécharger le système final, l’exécuter ou l’adapter, sans passer nécessairement par l’application ou l’API contrôlée par son éditeur. 33

Cette ouverture ne garantit toutefois pas l’accès à :

• la totalité du code d’entraînement ;
• aux données utilisées et à leur provenance ;
• une méthode d’entraînement reproductible ;
• des résultats d’évaluation complets ;
• des droits commerciaux et de redistribution sans restriction ;
• des informations transparentes sur le filtrage, les garde-fous ou les réglages de sécurité.

L’expression « open source » recouvre donc une exigence plus large. Pour être réellement reproductible et étudiable, un système devrait fournir un accès significatif au code, aux informations relatives aux données et aux autres composants nécessaires à sa compréhension et à sa reproduction. 41

La distinction doit être faite version par version. Le statut des poids, les licences, les outils de déploiement et les informations techniques peuvent différer entre DeepSeek, Kimi et Qwen, tandis que les informations publiques ne suivent pas toujours immédiatement l’évolution d’un produit.

La Chine mise sur l’adoption autant que sur la performance

Les laboratoires chinois associent des performances compétitives à des prix bas, une inférence efficace et la possibilité d’exécuter les modèles sur une infrastructure locale. Pour les start-up, les chercheurs et les entreprises, cela offre une alternative aux API propriétaires américaines, souvent plus coûteuses et dépendantes des serveurs de leur fournisseur. Des travaux d’analyse et des recherches en matière de politique publique décrivent un cercle d’adoption : les modèles bon marché attirent les utilisateurs, lesquels créent des outils et des dérivés qui accélèrent à leur tour les améliorations. 1720

L’enjeu ne se résume pas au nombre de personnes qui utilisent un chatbot. Chaque déploiement peut produire :

• des modèles spécialisés ou affinés ;
• des outils destinés aux développeurs et de nouvelles intégrations ;
• de nouveaux benchmarks, rapports de bugs et retours d’expérience ;
• une familiarité accrue avec une famille de modèles ;
• des dépendances commerciales et des choix techniques durables.

Entre août 2024 et août 2025, les développeurs chinois ont représenté 17,1 % des téléchargements sur Hugging Face, légèrement devant les développeurs américains, à 15,8 %. 18 D’autres informations font également état d’une adoption croissante de modèles chinois par des entreprises américaines à la recherche de coûts plus faibles. 31

Si des modèles d’origine chinoise s’intègrent dans des logiciels, des appareils, des services publics ou des systèmes industriels à travers le monde, Pékin pourrait peser sur les standards techniques, les mises à jour, les chaînes d’approvisionnement et les habitudes des développeurs. Il s’agit d’un potentiel levier géopolitique — pas de la preuve que chaque modèle déployé localement est compromis.

Le « risque chinois » recouvre plusieurs problèmes distincts

Les débats sur la sécurité doivent séparer au moins quatre sujets différents.

1. Les données envoyées à un service hébergé

Lorsqu’un utilisateur transmet des requêtes, des fichiers ou des identifiants à un service hébergé en Chine, ces informations sortent de son environnement. Elles peuvent alors relever de la juridiction du fournisseur et du droit applicable. Les données liées à la défense, à la santé, aux infrastructures critiques, aux administrations ou aux secrets industriels exigent donc une évaluation formelle des risques avant tout envoi vers un service externe.

L’hébergement local modifie cette question précise du flux de données. Une infrastructure correctement configurée peut conserver les requêtes et les documents dans le réseau de l’organisation. Cela ne garantit pas pour autant la sécurité du paquet du modèle, du logiciel de service ou des outils connectés.

2. La censure, les biais et le comportement du modèle

L’entraînement et l’alignement d’un modèle peuvent entraîner des refus, des omissions, un cadrage politique ou des informations trompeuses. Un rapport d’une commission du Congrès américain a affirmé que le produit hébergé de DeepSeek transférait les données d’utilisateurs américains vers la Chine et manipulait certaines réponses. Il s’agit de conclusions et d’allégations issues d’une enquête parlementaire, pas d’une preuve que tous les fichiers de poids téléchargeables contiennent du code malveillant. 2

Le comportement d’un service hébergé peut aussi différer de celui d’un dérivé exécuté localement. L’interface, les instructions système, la couche de modération, les outils de recherche et le processus de mise à jour peuvent tous modifier les réponses produites.

3. Les portes dérobées et la chaîne d’approvisionnement

En théorie, un paquet de modèle ou le logiciel qui l’entoure pourrait contenir du code de chargement vulnérable, un comportement empoisonné ou des déclencheurs cachés. Mais le pays d’origine d’un modèle ne constitue pas, à lui seul, la preuve d’une porte dérobée.

Les équipes de sécurité doivent vérifier la provenance des fichiers, les hachages et les signatures, examiner les communications réseau, isoler les composants dans une sandbox et tester l’ensemble de la pile de déploiement.

4. Les risques propres aux modèles fermés

Les modèles propriétaires fermés présentent eux aussi des risques de concentration et de responsabilité. Les utilisateurs ne peuvent généralement pas examiner leurs poids, leurs données d’entraînement, leurs instructions cachées, leur télémétrie, leurs filtres ou leur processus de mise à jour. Les API centralisées peuvent devenir des cibles privilégiées pour la surveillance, les pannes, les intrusions et les changements de politique décidés unilatéralement par le fournisseur.

L’accès fermé facilite parfois la surveillance des abus, le déploiement de correctifs de sécurité et la prévention de la redistribution incontrôlée. Il ne rend pas pour autant un modèle intrinsèquement fiable. Les systèmes ouverts et fermés comportent des risques différents et offrent des formes de contrôle différentes.

Pourquoi l’hébergement local est l’argument le plus solide contre une interdiction générale

L’auto-hébergement peut donner à une organisation davantage de contrôle sur son modèle de menace. Une équipe de sécurité peut figer une version, vérifier les artefacts, limiter les connexions sortantes, analyser les dépendances, isoler le service, mener des tests d’intrusion et conserver les requêtes sensibles sur son infrastructure interne.

L’accès aux poids peut également permettre à des chercheurs indépendants de reproduire des défaillances et d’étudier des biais ou d’éventuels déclencheurs cachés.

Cette transparence n’équivaut toutefois pas à une sécurité automatique. Peu d’organisations sont capables d’auditer intégralement le comportement appris d’un modèle de très grande taille. Un affinage peut introduire de nouvelles vulnérabilités, et une installation déconnectée ne protège les données contre l’exfiltration que si l’ensemble de la pile de service est correctement configuré.

La leçon pratique est donc d’évaluer le déploiement, et pas seulement l’étiquette apposée au modèle. Une API hébergée en Chine, une installation locale auditée et un dérivé tiers non vérifié ne présentent pas le même niveau de risque.

La distillation au cœur de la controverse

La distillation consiste à entraîner un modèle plus petit ou plus récent — l’« élève » — à partir des informations fournies par un modèle plus puissant — le « professeur ».

• La distillation en boîte noire utilise les sorties observables du modèle professeur, souvent recueillies au moyen de requêtes API. Elle peut être légitime lorsqu’elle est autorisée. Mais une extraction massive peut contourner des garde-fous, violer des conditions d’utilisation ou reproduire un comportement propriétaire.
• La distillation en boîte blanche s’appuie sur des informations internes comme les poids, les logits ou les représentations cachées. Elle peut transférer plus efficacement certaines capacités, mais l’accès à ces éléments non publics nécessite généralement une autorisation. Leur acquisition sans droit soulève des questions plus directes de sécurité et de secret industriel.

OpenAI et Anthropic ont accusé des entreprises chinoises, dont DeepSeek, d’utiliser les sorties de modèles pour entraîner leurs propres systèmes. La Commission américano-chinoise d’examen économique et sécuritaire a décrit des allégations portant sur des comptes frauduleux, des services mandataires et une extraction coordonnée. Reuters a rapporté l’accusation d’OpenAI selon laquelle DeepSeek chercherait à « profiter gratuitement » des capacités développées par les laboratoires américains de pointe. Ces éléments restent des allégations, et non des faits définitivement établis par un tribunal ou une autre instance juridictionnelle. 35

Le problème pour les pouvoirs publics est que l’extraction en boîte noire peut ressembler à une utilisation légitime et intensive. La solution ne peut donc pas consister à déclarer illégale toute distillation : lorsqu’elle est autorisée, cette méthode est une pratique technique courante.

Une pression croissante sur la Silicon Valley et Washington

Les modèles chinois à poids ouverts mettent sous pression le modèle économique américain fondé sur des API propriétaires et coûteuses. Les entreprises américaines doivent déterminer si le maintien de poids fermés protège leur avance technologique — ou s’il laisse à la Chine et à d’autres concurrents les développeurs, les intégrations et la distribution mondiale.

Le dépassement de Llama par Qwen en nombre de téléchargements constitue un signal concret de l’importance de cette compétition autour des modèles ouverts. 18 Les éléments disponibles ne permettent toutefois pas d’établir une réaction précise et actuelle de Nvidia ou de Meta à DeepSeek V4 Pro ou à Kimi K3. Les affirmations concernant une entreprise donnée doivent être rattachées à des déclarations primaires et datées, plutôt qu’être déduites de l’évolution générale du marché.

À Washington, la surveillance s’intensifie. Des commissions de la Chambre des représentants ont annoncé une enquête conjointe sur les risques pour la sécurité nationale et la cybersécurité liés à l’adoption de modèles développés en Chine, notamment les systèmes à poids ouverts et accessibles par API de DeepSeek, Alibaba et Moonshot AI. 14

Des informations ont également fait état de discussions sur de possibles restrictions. Les éléments fournis n’établissent cependant pas que les États-Unis ont adopté une interdiction commerciale générale des modèles chinois à poids ouverts. 912

Quelles options au-delà de « tout interdire » ou « ne rien faire » ?

Un cadre plus ciblé pourrait combiner plusieurs leviers :

1. Contrôler les usages à haut risque. Exiger une autorisation ou interdire les modèles non évalués dans la défense, le renseignement, les infrastructures critiques, les systèmes administratifs sensibles et les environnements traitant des données à fort impact.
2. Imposer des règles de déploiement sécurisé. Exiger des registres de provenance, des paquets signés, des nomenclatures des composants logiciels, des tests indépendants, des résultats de red teaming et des possibilités d’isolation réseau dans les environnements sensibles.
3. Distinguer les services hébergés des poids exécutés localement. Une API hébergée en Chine crée un risque d’accès aux données différent de celui d’un artefact installé localement et audité de manière indépendante.
4. Lutter contre l’extraction non autorisée. Renforcer la vérification des comptes, la surveillance des volumes de requêtes, la détection des abus, les techniques de traçabilité et l’application des contrats, sans assimiler toute distillation à un vol.
5. Privilégier des contrôles ciblés à l’exportation et à l’investissement. Concentrer les restrictions sur les puces avancées, les équipements de fabrication, l’accès au cloud et les entités clairement liées à des usages militaires ou de renseignement, tout en reconnaissant que des mesures trop larges peuvent accélérer le développement de solutions nationales chinoises.
6. Construire un écosystème américain et allié de modèles ouverts. Investir dans des modèles sécurisés et bien documentés, des évaluations multilingues, l’inférence efficace et des outils de déploiement. Une alternative compétitive répondrait plus directement à la stratégie chinoise d’adoption qu’une simple limitation du choix des utilisateurs. 10

En résumé

Les modèles chinois à poids ouverts transforment la course à l’IA parce qu’ils rendent des systèmes performants moins chers à adopter, plus faciles à personnaliser et plus difficiles à contenir une fois diffusés. Leur importance stratégique tient autant à l’ampleur de leur écosystème qu’à leurs performances brutes.

Les préoccupations de sécurité sont sérieuses, notamment pour les services hébergés, les données sensibles, l’intégrité de la chaîne d’approvisionnement et les accusations de distillation non autorisée. Mais la nationalité d’un modèle ne suffit pas à déterminer si son déploiement est sûr. Les modèles fermés américains ne sont pas non plus exempts de risques sous prétexte que leurs poids ne sont pas publics.

La réponse la plus défendable est donc fondée sur le risque : sécuriser la chaîne d’approvisionnement, limiter les usages sensibles, enquêter sur les preuves crédibles de détournement de modèles et bâtir un écosystème américain et allié capable de rivaliser à la fois sur les performances et sur la distribution.