C‑DRONE
Zone urbaine surveillée de nuit en vue aérienne

GUIDE C-DRONE · 3 SEPTEMBRE 2026

Sécurité des données et drones chinois (DJI) : ce que les entreprises et collectivités doivent vérifier en 2026

Une large majorité des drones professionnels utilisés en France porte une marque chinoise, DJI en tête — un fait qui n'inquiétait presque personne il y a encore trois ans. En 2026, la question a changé de nature : un audit commandé par le ministère de l'Intérieur pointe des zones d'ombre dans le logiciel DJI Assistant, les États-Unis ont ajouté l'ensemble des drones et composants critiques fabriqués à l'étranger à la liste « covered » de la FCC fin décembre 2025, et la Commission européenne prépare un label « EU Trusted Drone » pour la fin de l'année. Pour une entreprise ou une collectivité qui achète une prestation drone — ou qui arme sa propre flotte —, ces trois signaux convergent vers une même question pratique : que sait-on vraiment du trajet des données collectées, et faut-il l'écrire noir sur blanc dans un cahier des charges ?

Publié le 3 septembre 2026, relu le 3 septembre 2026 — réglementation en vigueur en septembre 2026.

Ce qu'a trouvé l'audit du ministère de l'Intérieur sur les drones DJI

Le ministère de l'Intérieur, qui s'apprêtait à renouveler une partie de sa flotte de drones auprès de DJI, a fait réaliser un audit technique du fabricant chinois avant de trancher. Les conclusions portent d'abord sur le logiciel DJI Assistant, utilisé pour mettre à jour le micrologiciel des appareils : son fonctionnement est en partie obfusqué, ce qui empêche d'analyser précisément ce qu'il fait sur la machine et les données qu'il manipule. L'audit relève aussi un précédent : l'Aeroscope, boîtier de détection de drones commercialisé par DJI, a transmis pendant des années des données d'usage vers des serveurs situés en Chine — position, vitesse, numéro de série, modèle du drone, et jusqu'à la position GPS exacte du pilote au sol.

Un second signal, plus récent, illustre le même risque autrement : en juin 2026, une faille de sécurité sur la plateforme de partage SkyPixel de DJI a exposé les adresses e-mail de dizaines de milliers d'utilisateurs, dont des comptes d'administrations, de services de secours et d'organismes gouvernementaux de plusieurs pays. Ce n'est pas une preuve d'espionnage organisé — DJI conteste régulièrement ce type d'accusation — mais un rappel que la surface d'exposition d'un drone professionnel dépasse largement le vol lui-même : application compagnon, cloud, mise à jour de micrologiciel sont autant de canaux de données à part entière.

Aux États-Unis, la bascule réglementaire de fin 2025 et le recours de DJI

Le signal le plus concret vient des États-Unis. La loi de programmation militaire (NDAA) imposait un examen de sécurité nationale de DJI et du fabricant chinois concurrent Autel dans un délai d'un an. Le 21 décembre 2025, un organe interministériel réuni par la Maison-Blanche a rendu une détermination défavorable, et dès le lendemain la FCC (l'autorité fédérale des télécommunications) a ajouté l'ensemble des drones et composants UAS critiques fabriqués à l'étranger à sa « Covered List » — la liste des équipements jugés à risque pour la sécurité nationale. Concrètement, DJI ne peut plus obtenir d'homologation pour de nouveaux modèles, radios ou composants radio aux États-Unis, ce qui bloque de fait l'importation légale de nouveau matériel. La liste ne donne en revanche pas à la FCC le pouvoir de désactiver à distance ou d'immobiliser les drones déjà en service : les flottes existantes continuent de voler.

DJI conteste la décision : la société a déposé un recours devant la cour d'appel du neuvième circuit le 20 février 2026, et la fenêtre de commentaires publics sur la demande de réexamen s'est achevée le 11 mai 2026. L'issue reste incertaine à l'heure où ce guide est écrit. Ce dossier américain n'a pas de traduction réglementaire directe en France — aucun texte français n'interdit aujourd'hui l'usage professionnel de drones DJI — mais il pèse déjà sur les arbitrages : les grands donneurs d'ordre publics et les assureurs suivent ce précédent de près, et plusieurs collectivités françaises ont commencé à interroger leurs prestataires sur l'origine de leur matériel avant même toute obligation légale.

Ce que montre la recherche en criminalistique numérique sur les drones DJI

Le débat sur les drones chinois n'est pas qu'une affaire de diplomatie : il s'appuie aussi sur une littérature scientifique déjà solide. Une étude de Fahad E. Salamh, M. Mahroof Mirza et Umit Karabiyik, publiée en 2021 dans la revue Electronics, a comparé plusieurs outils logiciels d'analyse criminalistique sur un DJI Phantom 4 et un DJI Matrice 210 : elle documente précisément quelles données de vol, de position et de configuration restent extractibles depuis les fichiers journaux et l'application compagnon, souvent sans chiffrement robuste (voir l'étude sur Google Scholar). Une seconde étude, de Zubair Baig, Majid Ali Khan, Nazeeruddin Mohammad et Ghassen Ben Brahim, parue en 2022 dans Sustainability, propose des modèles d'apprentissage automatique pour traiter en masse les données ainsi extraites de drones saisis lors d'enquêtes — une preuve, par l'usage inverse, que ces données existent, sont structurées, et intéressent au premier chef les enquêteurs (voir l'étude sur Google Scholar).

Ce que ces travaux montrent surtout, c'est que la même richesse de données qui sert la police scientifique lors d'une enquête peut, en creux, échapper au contrôle de l'exploitant légitime si le fabricant — ou un tiers ayant accès au micrologiciel — choisit de l'exploiter. C'est tout l'enjeu du logiciel obfusqué relevé par l'audit du ministère de l'Intérieur : une boîte noire qu'on ne peut pas auditer soi-même est, par construction, une boîte noire dont on ne peut pas garantir le comportement.

Le futur label « EU Trusted Drone » et les alternatives européennes

Côté européen, la réponse prend pour l'instant la forme d'un label plutôt que d'une interdiction : la Commission européenne prépare un label « EU Trusted Drone » attendu pour la fin de l'année 2026, destiné à identifier les équipements dont la chaîne d'approvisionnement et les composants électroniques ont fait l'objet d'une évaluation de sécurité renforcée. L'enjeu n'est pas que défensif : des eurodéputés poussent aussi pour développer des sources de composants alternatives et des capacités de recyclage des matières premières critiques, après que la Chine a commencé à restreindre ses exportations de composants et de terres rares vers l'Ukraine et plusieurs acheteurs occidentaux — un rappel que la dépendance se joue aussi sur l'approvisionnement en matériel, pas seulement sur le logiciel.

Sur le terrain, la France dispose d'un constructeur qui coche déjà une partie de ces cases : Parrot, dont la chaîne de traitement des données est conçue pour rester sous contrôle européen, gagne en attractivité sur les missions sensibles — sites Seveso, infrastructures critiques, marchés de sécurité intérieure — même si son offre reste plus réduite que le catalogue DJI sur certains segments (portée, autonomie, prix d'entrée). Pour une mission courante, le choix du fabricant reste d'abord une question de performance et de prix ; c'est sur les missions sensibles que l'origine du matériel devient un critère à part entière.

Ce que ça change dans un cahier des charges ou le choix d'un prestataire

Pour une collectivité qui rédige un marché public de prestations drone, la question de la sécurité des données peut désormais faire l'objet d'une clause à part entière du CCTP, distincte des exigences habituelles (déclaration AlphaTango, assurance RC aérienne, qualification du télépilote). Trois points concrets à faire préciser par le candidat : où sont traitées et stockées les données de la mission — sur le poste du télépilote, sur un serveur français ou européen, ou sur une plateforme cloud du constructeur dont la localisation reste incertaine ; le drone peut-il fonctionner en mode local, sans synchronisation automatique vers une application ou un cloud tiers pendant la mission ; et qui a accès au micrologiciel et à ses mises à jour, avec quelle traçabilité en cas de modification.

Pour une entreprise privée, l'enjeu est proportionné à la sensibilité du site : une PME qui sous-traite une orthophotographie de toiture n'a pas les mêmes obligations qu'un site Seveso seuil haut. Mais la vigilance grandit vite côté donneurs d'ordre : assureurs et grands comptes industriels commencent à demander, en amont d'un appel d'offres, une déclaration sur l'origine du matériel — rare fin 2025, en nette progression un an plus tard.

Méthode et prix d'un audit de sécurité des données en 2026

Concrètement, trois prestations répondent à cette demande montante : un audit de flotte, qui passe en revue l'origine du matériel, la version de micrologiciel et le chemin exact des données entre le drone, l'application compagnon et le cloud du fabricant, avec des recommandations pour cloisonner ou remplacer les appareils les plus exposés ; la rédaction d'une clause de sécurité des données pour un CCTP ou un contrat-cadre, qui traduit ces exigences en critères vérifiables sans écarter injustement des prestataires équipés en DJI qui savent démontrer leur conformité ; et, pour les missions les plus sensibles, un vol en mode déconnecté — matériel hors ligne pendant toute la mission, transfert manuel des données à l'atterrissage —, la parade la plus simple et la moins coûteuse, quel que soit le fabricant.

Les informations réglementaires de cette page reflètent la situation connue en septembre 2026 ; le recours de DJI devant la justice américaine et le calendrier du label européen peuvent encore faire évoluer ce cadre.

Ordres de grandeur constatés en 2026 (HT) :

PrestationPrix constaté (HT)
Audit de sécurité des données d'une flotte (jusqu'à 10 appareils)1 500 à 3 500 €
Rédaction d'une clause de sécurité des données pour un CCTP600 à 1 500 €
Mission ponctuelle en mode déconnecté (site sensible)Majoration de 15 à 30 % du tarif standard
Accompagnement au choix d'un drone « souverain » pour un site sensible500 à 1 200 €

Que la démarche vienne d'une collectivité qui prépare un marché public de prestations drone ou d'une entreprise qui sécurise sa chaîne de sous-traitants, demandez un devis en précisant le niveau de sensibilité du site : c'est ce qui détermine si un simple engagement contractuel suffit ou si un audit technique s'impose. Notre guide de référence sur la réglementation drone 2026 replace ce sujet dans le cadre complet applicable aux exploitants professionnels.

Demander un devis gratuit

Passer à la pratique

À lire aussi