DeepSeek : face au concurrent chinois de ChatGPT, l’inquiétude des autorités de protection des données personnelles

L’écho mondial dont bénéficie DeepSeek, couplé à son succès manifeste en matière de téléchargements, inquiète désormais certains régulateurs et certaines autorités du monde occidental. Au cœur des préoccupations : le destin des données appartenant aux personnes qui utilisent ce service chinois, considéré comme un concurrent sérieux de l’Américain OpenAI.

Dans un communiqué publié mardi 28 janvier, l’autorité chargée de la protection des données personnelles (GPDP) italienne a évoqué un « risque élevé pour les données de millions de personnes en Italie ». La GPDP explique dans ce texte avoir demandé à DeepSeek « quelles données personnelles étaient collectées, à partir de quelles sources et à quelles fins », ainsi que des précisions sur « la base juridique du traitement [des données] et si elles étaient stockées sur des serveurs situés en Chine ». L’autorité a donné un délai de réponse de vingt jours à la société DeepSeek Artificial Intelligence.

Dès le lendemain, DeepSeek a disparu des magasins d’applications de Google et d’Apple en Italie, sans qu’un lien direct puisse être établi avec l’injonction de la GPDP. Cette dernière a toutefois déjà, en mars 2023, temporairement bloqué ChatGPT, l’agent conversationnel d’OpenAI, en raison d’inquiétudes similaires sur les données utilisées et recueillies par le chatbot d’OpenIA. En décembre 2024, elle a aussi infligé à OpenAI une amende de 15 millions d’euros pour des manquements sur le sujet.

En Irlande, la Commission de protection des données (DPC) s’est elle aussi saisie du sujet. Interrogé par la Radio-Télévision d’Irlande (RTE), le sénateur Malcolm Byrne, membre du parti majoritaire Fianna Fail et porte-parole de la formation sur les questions scientifiques, a détaillé en ces termes les interrogations qui parcourent les autorités irlandaises : « Si nos données sont hébergées en Irlande ou dans d’autres endroits dans l’Union européenne, il existe des filets de sécurité suffisants pour protéger la manière dont ces données sont exploitées. Si ces données sont stockées en Chine, ces protections n’existent pas. »

Ce risque a aussi été pointé en Australie, où le ministre de l’industrie et des sciences, Ed Husic, a insisté, à la télévision publique, sur la nécessité d’être très prudent face au chatbot chinois. En Belgique, une plainte a été déposée par une association de protection des consommateurs auprès de l’autorité de protection des données.

Contactée par Le Monde pour savoir quelle était la position de la France sur le sujet, la Commission nationale de l’informatique et des libertés (CNIL) a répondu n’avoir « enregistré ni signalements, ni plaintes » pour le moment, mais avoir lancé « une analyse de cet outil ». La CNIL entend, à ce titre, « interroger la société qui propose le chatbot DeepSeek afin de mieux comprendre le fonctionnement de ce système d’IA, et les risques en matière de protection des données ».

Stockage d’informations en Chine

Le 20 janvier, DeepSeek a publié deux modèles de langage, DeepSeek-V3 et DeepSeek-R1, ainsi qu’un chatbot. Ce dernier permet d’obtenir des réponses développées à des requêtes, à la manière de ChatGPT. Disponible en ligne ou dans une application spécialisée, il connaît un certain succès auprès du grand public : l’application DeepSeek était, jeudi 30 janvier, la plus téléchargée en France sur Android et iOS.

Or, la politique de confidentialité de ce chatbot est claire : les données utilisées pour se créer un compte DeepSeek (e-mail, âge…), l’historique des requêtes formulées à l’agent conversationnel, et de nombreuses informations techniques (adresse IP, matériel de l’usager…) peuvent être stockées sur des serveurs situés dans le monde entier et en Chine, pour une durée « aussi longue que nécessaire ».

Une formulation ambiguë, alors que ces éléments peuvent être analysés par DeepSeek pour « améliorer » ses services, mais aussi partagés avec des partenaires pouvant inclure des agences publicitaires et des entreprises privées, ou encore être transmis aux autorités en cas de « requêtes légales ». Cette situation pose un problème étant donné qu’en Chine, comme le rappelle NBC News, les entreprises n’ont d’autres choix que de collaborer avec les autorités et de répondre aux demandes formulées par l’Etat pour des besoins de surveillance et liés à la sécurité nationale.

Les systèmes de protection techniques des données conservées par DeepSeek peuvent en outre soulever des questions. Une entreprise américaine de cybersécurité, Wiz, a ainsi détecté et signalé une importante fuite de données exposant les requêtes d’utilisateurs de DeepSeek et leurs informations personnelles, rapportent Wired et Reuters.