RGPD, copyright, cybersécurité... Les zones d'ombre de DeepSeek
Incriminé d'infraction au RGPD, DeepSeek est aussi contrarié dans son dépôt de marque, accusé d'avoir exposé des données sensibles et soupçonné d'avoir volé OpenAI.

DeepSeek et le RGPD, ça fait deux ?
Les CNIL européennes commencent en tout cas à s'intéresser au cas de l'entreprise chinoise. L'autorité italienne a ouvert le bal. Elle souhaite, dans les grandes lignes, savoir :
- Quelles données personnelles DeepSeek collecte, pour quelles finalités et avec quelles bases légales
- Dans quelle mesure les données sont stockées en Chine
- Quelles données ont servi à entraîner les modèles sous-jacents aux services proposés dans l'UE ; et, s'il y a eu collecte de données personnelles, comment les personnes concernées ont été informées
La CNIL irlandaise a aussi sollicité des informations. Comme son homologue italienne, elle a été saisie par des associations de consommateurs. Membres, notamment, de la coalition Euroconsumers. Cette dernière pointe plusieurs pratiques non conformes au RGPD :
- Défaut de désignation de représentants dans l'UE par les responsables de traitement, basés en Chine
- Existence de transferts de données personnelles vers la Chine sans garde-fous appropriés
- Absence de bases légales et finalités génériques non transparentes
- Information incomplète et insuffisamment claire sur les délais de conservation des données et l'exercice des droits des personnes concernées
- Pas de précisions quant à l'éventuelle exploitation de données personnelles à des fins de profilage ou de décisions automatisées
- Aucune garantie pour la protection des mineurs (pas de détails sur la vérification d'âge ni sur la gestion des données collectées sans consentement parental)
Ce que dit la politique de confidentialité de DeepSeek
Dans sa politique de confidentialité, DeepSeek explique collecter :
- Données fournies lorsque l'utilisateur crée un compte (cela peut inclure date de naissance, adresse électronique et/ou numéro de téléphone, nom d'utilisateur et mot de passe)
- Prompts, fichiers téléversés, feedback et historiques de conversation
- Données techniques (type d'appareil, OS et langue système, adresses IP, "patterns et rythmes" de frappe clavier...) et relatives à l'usage des services (fonctionnalités utilisées, actions réalisées, niveaux de performance...)
Pour ce qui est des finalités, DeepSeek mentionne principalement :
- Fournir et administrer le service
- Notifier les utilisateurs des changements
- Améliorer sûreté, sécurité et stabilité
- Répondre à des obligations légales
Les données sont stockées sur des serveurs en Chine. Elles sont conservées "aussi longtemps que nécessaire" pour accomplir les finalités annoncées. Y compris en cas d'"intérêt business légitime", comme le développement des services.
"Nos services ne se destinent pas aux moins de 18 ans", explique DeepSeek... sans toutefois fermer explicitement la porte. "Si vous avez plus de 14 ans et moins de 18 ans, lisez la politique de confidentialité avec vos parents ou responsables légaux", ajoute notamment l'entreprise. Non sans préciser qu'en fonction des juridictions, "il est possible" que les utilisateurs de ses services aient des droits...
Du côté de la Commission européenne, on affirme qu'il est trop tôt pour parler d'enquête. Tout au plus le porte-parole pour la souveraineté technologique assure-t-il que "les services proposés en Europe respecteront nos règles".
Scruté par la Maison Blanche, banni par l'US Navy
De l'autre côté de l'Atlantique, DeepSeek est dans le collimateur de la Maison Blanche. Celle-ci a déclaré évaluer les implications des services de l'entreprise chinoise en matière de sécurité nationale. Sur place, l'application mobile est devenue numéro un sur l'App Store et sur Google Play - comme en France, d'ailleurs. L'US Navy en a formellement interdit l'usage "pour raisons éthiques et sécuritaires".
DeepSeek contrarié dans son dépôt de marque
Autre contrariété pour DeepSeek aux États-Unis : le dépôt de marque. L'entreprise a effectué une demande mardi 28 janvier 2025. Problème : une société basée dans le Delaware l'a devancée. Son nom : Delson Group. Elle dit vendre des produits sous la marque DeepSeek depuis 2020. Et ces produits relèvent de l'IA. Entre autres, des "programmes informatiques [...] pour traiter, générer, comprendre et analyser le langage naturel".
Delson Group a déjà eu maille à partir avec Tencent et la GSMA. Celui qui se présente comme son fondateur est diplômé de l'université du Zhejiang... comme le patron de DeepSeek. Ancien professeur à Stanford, il a fait l'essentiel de sa carrière dans les télécoms.
Lire aussi : RGPD : les GAFAM rappelés à l'ordre pour leurs LLM
"C'est du vol" : DeepSeek accusé de s'être nourri d'OpenAI
En parallèle, DeepSeek est suspecté d'avoir violé les conditions d'utilisation des services d'OpenAI. Ces dernières interdisent d'utiliser des outputs pour développer des modèles concurrents. Or, l'entreprise chinoise se serait livrée à cette pratique, appelée distillation. David Sacks, le "tsar de l'IA et des cryptomonnaies" de l'administration Trump, clame disposer de "preuves substantielles" dans ce sens et dénonce un vol.
Des millions de données sensibles en accès libre ?
DeepSeek fait également face aux affirmations d'un fournisseur américain de solutions de cybersécurité. Lequel dit avoir découvert une base de données ClickHouse ouverte, accessible sans authentification depuis Internet. Des requêtes SQL sur l'interface HTTP ont permis de lister les datasets accessibles. L'un d'eux contenait plus d'un million d'entrées, parmi lesquelles des historiques de chat, des données de back-end et des clés d'API.
Illustration générée par IA
Sur le même thème
Voir tous les articles Data & IA