DeepSeek sous surveillance : pourquoi les régulateurs s’alarment pour les données

L’ascension éclair de DeepSeek, jeune entreprise chinoise devenue un concurrent visible de ChatGPT, ne suscite pas seulement la curiosité des utilisateurs et du secteur technologique. Elle alerte aussi les autorités chargées de protéger la vie privée. Au 31 janvier 2025, plusieurs régulateurs s’interrogent sur les données que le chatbot collecte, sur les lieux où elles sont hébergées et sur les garanties offertes aux personnes qui l’utilisent.

Le sujet dépasse largement une question technique. Lorsqu’un internaute échange avec une intelligence artificielle générative, il peut lui confier une recherche personnelle, un document professionnel, un problème de santé, une idée d’entreprise ou des éléments permettant de l’identifier. Ces informations peuvent être sensibles, même lorsque l’utilisateur ne les perçoit pas immédiatement comme telles. La forte popularité de DeepSeek donne donc une dimension très concrète aux questions de conformité, de transparence et de cybersécurité.

Pourquoi DeepSeek attire-t-il autant l’attention ?

DeepSeek a récemment lancé des modèles de langage qui ont suscité un intérêt important auprès du public. Comme d’autres assistants conversationnels, son service permet de soumettre des questions ou des consignes écrites afin d’obtenir des réponses, de résumer un texte, de rédiger ou d’expliquer des notions.

Cette simplicité d’usage ne doit pas faire oublier ce qui se passe en arrière-plan. Un chatbot n’est pas seulement un logiciel qui produit du texte : c’est aussi un service en ligne susceptible de recueillir des informations au moment de la création d’un compte, pendant une conversation et lors de la connexion à ses serveurs. La nature exacte de cette collecte, les raisons qui la justifient, sa durée et ses destinataires sont précisément les sujets sur lesquels les autorités demandent des éclaircissements.

La situation rappelle le précédent de ChatGPT en Italie. Le service d’OpenAI avait été temporairement bloqué dans le pays à la suite d’inquiétudes sur la confidentialité des données. Le cas DeepSeek montre que la pression réglementaire ne concerne pas uniquement les entreprises américaines de l’intelligence artificielle : tout acteur accessible aux utilisateurs européens peut être tenu de démontrer qu’il respecte les règles applicables.

Quelles données le chatbot peut-il recueillir ?

D’après les éléments mis en avant par la politique de confidentialité de DeepSeek, les informations concernées vont au-delà du seul texte visible dans une discussion. Elles peuvent inclure des données fournies lors de l’inscription, l’historique des requêtes ainsi que des informations techniques liées à l’appareil et à la connexion.

La collecte de données n’est pas, en elle-même, interdite. De nombreux services numériques ont besoin d’un identifiant pour gérer un compte, d’informations techniques pour prévenir les abus ou de certains échanges pour fournir une réponse cohérente. Ce qui importe est la capacité de l’entreprise à expliquer clairement ce qu’elle recueille, dans quel but, pendant combien de temps et sur quelle base juridique.

Pour un assistant d’IA, le contenu des prompts, c’est-à-dire les instructions ou questions saisies par l’utilisateur, mérite une attention particulière. Une requête apparemment banale peut contenir un nom, une situation professionnelle précise, des données financières ou une information relevant du secret des affaires. C’est pourquoi les autorités examinent non seulement les données déclarées à l’inscription, mais aussi les conversations elles-mêmes.

L’Italie demande des explications détaillées à DeepSeek

C’est en Italie que la réaction institutionnelle est la plus visible. La Garante per la protezione dei dati personali, l’autorité nationale de protection des données, estime qu’il existe un risque élevé pour les données de millions d’Italiens. Elle a demandé à DeepSeek de préciser plusieurs points essentiels : les catégories de données collectées, leurs sources, les finalités de leur traitement et les fondements juridiques invoqués par l’entreprise.

DeepSeek s’est vu accorder vingt jours pour répondre à ces demandes. Un tel questionnaire ne préjuge pas automatiquement d’une sanction, mais il marque l’ouverture d’un examen approfondi. L’autorité veut disposer d’informations vérifiables avant d’évaluer si le fonctionnement du service respecte les exigences applicables à la protection des données personnelles.

Dans le même contexte, DeepSeek a temporairement disparu des magasins d’applications de Google et d’Apple en Italie. Aucun lien direct n’a été établi entre cette indisponibilité et la demande de l’autorité italienne. La concomitance nourrit néanmoins les interrogations, d’autant que le pays avait déjà connu l’épisode du blocage temporaire de ChatGPT.

De l’Irlande à la France, une vigilance qui s’étend

L’attention portée à DeepSeek ne se limite pas à Rome. En Irlande, la Commission de protection des données, connue sous le sigle DPC, a elle aussi exprimé des préoccupations sur la sécurité et le traitement des informations des utilisateurs. Un sénateur irlandais a résumé l’enjeu : lorsque les données sont stockées en Europe, des protections spécifiques peuvent s’appliquer, tandis qu’un stockage en Chine soulève des interrogations supplémentaires sur les garanties effectives.

En France, la Commission nationale de l’informatique et des libertés, la CNIL, a annoncé qu’elle examinait la situation. À cette date, l’autorité indique ne pas avoir reçu de signalement concernant DeepSeek. Elle souhaite cependant analyser le fonctionnement du chatbot et les risques possibles pour les données personnelles. Cette démarche est importante : l’absence de plainte n’empêche pas un régulateur de se saisir d’un phénomène qui prend rapidement de l’ampleur.

Ailleurs, les préoccupations commencent également à s’exprimer :

• En Belgique, une plainte a été déposée, reflétant les inquiétudes de consommateurs face au manque perçu de garanties sur la confidentialité.
• En Australie, des responsables politiques appellent à une vigilance accrue sur la collecte et le traitement des données par le service.
• À l’échelle européenne, le cas DeepSeek alimente plus largement la question du contrôle des outils d’IA étrangers très rapidement adoptés par le public.

Ces démarches ont un point commun : elles ne visent pas les capacités conversationnelles du modèle, mais les conditions dans lesquelles un service numérique traite les informations de ses utilisateurs.

Le stockage en Chine est-il incompatible avec le RGPD ?

Le fait que des données puissent être stockées en Chine est au cœur des inquiétudes, mais il faut distinguer le risque de l’interdiction automatique. Un hébergement hors de l’Union européenne ne fait pas mécaniquement disparaître les obligations liées au Règlement général sur la protection des données, le RGPD. Lorsqu’un service cible ou est utilisé par des personnes dans l’Union européenne, la question est plutôt de savoir si les transferts et les traitements sont encadrés par des garanties suffisantes.

Les autorités cherchent notamment à comprendre quelles données sont transférées, qui peut y accéder, quels mécanismes juridiques protègent les utilisateurs et comment les personnes peuvent exercer leurs droits. Ces droits comprennent notamment l’accès aux données, leur rectification et, selon les cas, leur effacement.

L’inquiétude tient aussi aux différences entre les cadres juridiques nationaux. Des données hébergées en Chine peuvent être soumises aux lois locales et à des demandes des autorités chinoises. Pour les régulateurs européens et les responsables politiques qui s’en préoccupent, ce contexte appelle une transparence renforcée de la part de l’entreprise.

Une exposition de données qui renforce les doutes

Les interrogations réglementaires sont aggravées par un problème de sécurité signalé par une société américaine de cybersécurité. Cette dernière a détecté une importante exposition publique de données associées à DeepSeek, comprenant des requêtes d’utilisateurs et des informations personnelles. Un tel épisode, s’il est confirmé dans son étendue, rappelle qu’une politique de confidentialité ne suffit pas : les promesses de protection doivent aussi reposer sur des dispositifs techniques solides.

Dans un service d’IA générative, une défaillance peut avoir des conséquences particulières. Une base exposée peut contenir non seulement des identifiants ou des journaux techniques, mais aussi le texte de conversations. Or les utilisateurs peuvent y avoir saisi des informations qu’ils n’auraient jamais publiées sur un réseau social ou dans un forum public.

Comment limiter les informations confiées à un chatbot ?

Dans l’attente des réponses de DeepSeek aux autorités et des conclusions des enquêtes annoncées, les utilisateurs peuvent adopter quelques réflexes simples. Ils valent d’ailleurs pour l’ensemble des assistants conversationnels, quelle que soit l’entreprise qui les propose.

Il est recommandé de ne pas transmettre de données qui permettraient de vous identifier inutilement, ni d’informations confidentielles concernant un employeur, un client ou un proche. Avant de coller un texte à résumer, il est prudent de retirer les noms, les coordonnées, les numéros de dossier et les éléments stratégiques. L’utilisateur peut également consulter la politique de confidentialité du service afin de comprendre les données déclarées comme collectées et les modalités de stockage annoncées.

En Europe, les personnes concernées peuvent aussi s’adresser à l’entreprise pour exercer leurs droits lorsque le RGPD s’applique. Si elles estiment ne pas obtenir de réponse satisfaisante ou observent une pratique préoccupante, elles peuvent saisir l’autorité nationale compétente, comme la CNIL en France.

Ce qu’il faut surveiller dans les prochaines semaines

La réponse de DeepSeek à l’autorité italienne sera un premier test de transparence. Les régulateurs attendent des informations précises sur les données traitées, leurs usages et les protections prévues, pas seulement des déclarations générales. Les éventuelles suites données par l’Italie, l’Irlande, la France ou la Belgique permettront aussi de mesurer si une approche coordonnée se dessine en Europe.

L’affaire illustre un défi désormais central pour l’IA grand public. L’innovation et la concurrence peuvent accélérer l’arrivée de nouveaux outils, mais elles ne dispensent pas les entreprises de protéger les personnes qui les utilisent. Pour DeepSeek comme pour ses concurrents occidentaux, la qualité d’un modèle ne se jugera donc pas seulement à la pertinence de ses réponses. Elle dépendra aussi de sa capacité à inspirer confiance sur la confidentialité, la sécurité et le contrôle des données personnelles.