API DeepSeek : recherche web, fichiers et voix intégrés, ce que ça coûte et où partent les données

En une phrase : Depuis le 13 novembre 2026, l’API de DeepSeek exécute elle-même, sur ses serveurs, la recherche web, la lecture de liens et l’analyse de fichiers de son application grand public : un développeur obtient un assistant complet en quelques paramètres, payé au jeton et à l’appel, mais les requêtes, pages et documents passent par l’infrastructure d’une société chinoise, sous droit chinois.

DeepSeek a publié le 13 novembre 2026 une note de version intitulée « Releasing the full suite of application APIs ». L’idée : tout ce qui entoure le modèle dans l’application DeepSeek (recherche, fichiers, liens, voix, filtrage) devient accessible aux développeurs. Ce n’est pas un nouveau modèle, c’est une nouvelle manière de s’en servir, qui déplace une partie du travail et des données du côté de DeepSeek. Voici comment ça fonctionne, ce que ça coûte, et ce qu’un développeur ou un responsable de traitement en Europe doit vérifier avant de l’activer.

Ce qu’est un outil « côté serveur », et ce qui change

Jusqu’ici, quand un développeur voulait qu’un modèle de langage cherche sur le web, il déclarait une fonction, le modèle demandait à l’appeler, et c’était au programme du développeur de lancer la recherche chez un fournisseur de son choix puis de renvoyer le résultat. C’est l’appel d’outils classique, celui qu’utilise un agent IA.

Avec un outil côté serveur, cette boucle disparaît du code du développeur. D’après le guide « Build a Chatbot », « le service exécute les recherches et la lecture des URL » : le client se contente d’afficher les blocs renvoyés et de les repasser tels quels au tour suivant. Le texte des pages lues n’est d’ailleurs pas rendu au développeur : selon la page « Web Tools », il circule chiffré dans un champ signature, et seuls l’adresse, le titre et la date de la page restent lisibles.

Concrètement, le modèle deepseek-flash (version DeepSeek-V4.1-Flash-1017) accepte désormais, dans les formats Chat Completions, Responses (celui d’OpenAI) et Messages (celui d’Anthropic), selon la note du 13 novembre :

• la recherche web (deepseek_web_search), texte ou images, avec citations ; en mode réflexion, le modèle enchaîne seul plusieurs recherches et lectures, ce que DeepSeek appelle « deep thinking search » ;
• la lecture de liens (deepseek_read_url) : le modèle repère les adresses présentes dans le message, récupère les pages et répond avec ;
• l’entrée de fichiers : PDF, Word, PowerPoint, images, dont le texte est extrait ou la mise en page analysée avant d’être ajouté au contexte ;
• un contrôle de sécurité (safety_check) qui examine l’entrée et la sortie et renvoie un refus en cas de risque.

La recherche, la lecture de pages, l’OCR, la transcription vocale et la synthèse vocale sont aussi vendues comme API séparées, que le développeur peut appeler seules ou combiner, comme le résume TokenPost. Le moteur de recherche est celui de DeepSeek : la note du 17 octobre 2026 le décrit comme un index de « centaines de milliards de pages » qui filtrerait les contenus de manipulation SEO et GEO, une affirmation de l’entreprise que rien ne permet de vérifier de l’extérieur.

Ce que ça coûte

Les outils sont facturés en plus des jetons du modèle, aux mêmes prix que les API autonomes. Relevé sur la grille tarifaire de DeepSeek le 13 novembre 2026 :

Source : Models & Pricing, DeepSeek, relevé du 13 novembre 2026.

Deux règles de facturation comptent pour estimer une facture, toutes deux dans la section « Usage and Billing » de la page Web Tools. Une recherche qui envoie trois requêtes est facturée trois fois, et une recherche qui échoue ou ne trouve rien n’est pas facturée. En recherche approfondie, rouvrir une page déjà lue est gratuit. Les heures pleines, du lundi au vendredi, vont de 01 h à 04 h et de 06 h à 10 h UTC selon la grille, soit de 2 h à 5 h et de 7 h à 11 h à Paris en hiver : une application française active le matin paie donc le tarif plein. Pour comprendre comment le cache et la longueur des échanges font varier une facture d’agent, notre explication sur le prix des jetons et le cache donne la méthode.

Les réglages qui ne sont pas réglables

La documentation détaille aussi ce que le développeur perd en confiant la boucle au serveur. Trois points méritent d’être lus avant d’intégrer ces outils dans un produit.

Pas de liste de domaines. Déclarer allowed_domains, blocked_domains ou user_location sur l’outil de recherche renvoie une erreur, d’après le tableau des erreurs de la page Web Tools. Impossible, donc, de limiter les réponses à des sources officielles ou d’exclure un site. On ne peut pas non plus forcer le modèle à chercher, ni combiner ces outils avec d’autres outils côté serveur « pour l’instant ».

Des paramètres ignorés. Dès qu’un outil web, le contrôle de sécurité ou le titre automatique est activé, le guide « Build a Chatbot » indique que « le service décide » de plusieurs paramètres et ignore ceux de la requête : la température notamment, mais aussi, dans le format Responses, le paramètre store qui, chez OpenAI, indique si la réponse doit être conservée. DeepSeek ne dit pas ce qu’il décide à la place.

Des fichiers gardés sans limite. Selon la page Files API, un fichier envoyé peut recevoir une durée de vie de 1 heure à 30 jours ; si le développeur ne la fixe pas, le fichier est conservé « de façon permanente », jusqu’à 10 000 fichiers par utilisateur. Une suppression explicite reste possible. Pour une application qui reçoit des contrats, des factures ou des pièces d’identité, fixer expires_after dès l’envoi est la première chose à faire.

Quant au contrôle de sécurité, sa page précise qu’il « ne remplace pas » les obligations de l’opérateur du service, et la note de version cite celles-ci : examen de la sécurité des contenus, « enregistrement des grands modèles », étiquetage de l’IA. La documentation ne dit pas de quel droit relèvent ces obligations. En Europe, la règle qui s’applique à un service qui génère du texte est l’article 50 de l’AI Act, sur la transparence et le marquage des contenus, applicable depuis le 2 août 2026 selon le texte du règlement ; notre calendrier d’application de l’AI Act précise les délais de marquage.

Où partent les données

C’est la question que pose toute intégration de DeepSeek en Europe, et ces outils l’élargissent : ce ne sont plus seulement des messages qui partent, mais aussi des documents entiers, les liens que les utilisateurs collent et les requêtes de recherche que le modèle formule à partir de leurs questions.

Ce que disent les textes de DeepSeek, relevés le 13 novembre 2026 :

1. Stockage en Chine. La politique de confidentialité, mise à jour le 10 février 2026, indique que DeepSeek collecte, traite et stocke les données personnelles « en République populaire de Chine ». Aucune région européenne n’est proposée dans la documentation de l’API consultée.
2. Le développeur est responsable de ses utilisateurs. Les conditions de la plateforme pour développeurs, en vigueur depuis le 29 avril 2026, excluent de la politique de confidentialité les données des utilisateurs finaux : c’est au développeur d’informer ses utilisateurs, d’obtenir leur consentement ou une autre base légale, y compris pour confier ces données à DeepSeek. Il doit aussi signaler que les réponses sont générées par une IA.
3. Droit chinois. Ces mêmes conditions sont régies par le droit de la République populaire de Chine continentale, et, faute d’accord amiable, un litige se plaide devant le tribunal du siège de Hangzhou DeepSeek Artificial Intelligence.
4. Pas de données sensibles. La politique de confidentialité demande de ne pas fournir de données de santé, génétiques, biométriques ou concernant des enfants, entre autres.

Les autorités européennes se sont déjà penchées sur DeepSeek, mais sur son application grand public. Le 30 janvier 2025, le Garante italien a ordonné la limitation du traitement des données des personnes situées en Italie dans le cadre du « service DeepSeek », en relevant notamment le stockage en Chine ; la décision ne mentionne pas l’API. Le même jour, la CNIL annonçait qu’elle allait interroger la société, rapportait Reuters. Pour un responsable de traitement en France, le transfert de données personnelles vers un pays tiers relève du RGPD et de son registre ; nos repères sur l’usage des données personnelles par les IA donnent le cadre de départ.

Les alternatives si les données doivent rester en Europe

Héberger le modèle soi-même. Les poids de DeepSeek-V4.1-Flash-1017 sont publiés sous licence MIT, d’après la fiche du modèle sur Hugging Face. Un modèle à poids ouverts peut tourner sur des serveurs européens. Mais les outils annoncés le 13 novembre ne sont pas dans les poids : le moteur de recherche, la lecture de pages et l’analyse de fichiers sont des services de DeepSeek, qu’il faut remplacer par les siens. La différence entre poids publiés et logiciel libre est détaillée dans notre point sur l’open source et les poids ouverts.

Passer par un hébergeur. La documentation d’Alibaba Cloud Model Studio, mise à jour le 12 novembre 2026, propose deepseek-v4.1-flash-1017 dans six régions, dont l’Allemagne (Francfort), avec ses propres outils intégrés (recherche web, extraction de pages, interpréteur de code) et non ceux de DeepSeek. Alibaba Cloud reste un groupe chinois : ses conditions de traitement des données sont à lire à part, nous ne les avons pas analysées ici.

Ce qu’on ne sait pas encore

• La conservation des requêtes et des pages lues : les pages consultées décrivent la durée de vie des fichiers, pas celle des recherches, des pages récupérées ni des réponses.
• L’usage de ces données pour l’entraînement : la politique de confidentialité mentionne l’entraînement parmi les usages des contenus fournis, mais les conditions pour développeurs ne disent pas explicitement si les données envoyées par l’API sont concernées.
• La qualité du moteur de recherche : les pages consultées ne donnent aucune mesure de la pertinence de ses résultats, seulement la description qu’en fait DeepSeek.
• La position des autorités européennes sur l’API : aucune décision du Garante ou de la CNIL consultée ne vise l’API pour développeurs.

Pour un prototype sans données personnelles, l’offre est simple à tester et peu chère. Pour un produit ouvert à des clients européens, la question n’est pas technique : il faut décider, avec le délégué à la protection des données, si l’on peut envoyer en Chine les documents et les questions de ses utilisateurs. Les autres notions utiles, du RAG aux hallucinations, sont rassemblées dans la rubrique Comprendre.