Tout ce que les DPO doivent savoir sur l'IA DeepSeek 

Depuis quelques jours, un nom agite le monde de l’intelligence artificielle : DeepSeek. Ce modèle open source chinois se pose en rival direct d’OpenAI et Google, avec un argument de poids : une accessibilité totale et un coût imbattable. 

Mais derrière l’innovation, les questions s’accumulent : où sont stockées les données ? Quelles garanties en matière de conformité et de cybersécurité ? Alors que le RGPD et l’IA Act durcissent l’encadrement des IA, DeepSeek intrigue autant qu’il inquiète. 

Révolution ou bombe à retardement ? 

Dans notre dernier article, nous décryptons tout ce que les DPO et responsables conformité doivent savoir sur ce nouvel acteur qui agite le monde de l’IA.  

DeepSeek, l’IA chinoise en pleine ascension

DeepSeek est un agent conversationnel, conçu pour exécuter des tâches complexes nécessitant une forte contextualisation, à l’image de ChatGPT. 

Contrairement aux autres géants chinois de l’IA basés à Pékin ou Shanghai, DeepSeek est né en 2023 à Hangzhou, une métropole en plein essor technologique. 

À l’origine du projet, Liang Wenfeng, un entrepreneur au parcours atypique. Mathématicien de formation, il débute dans la finance en lançant High-Flyer, un fonds d’investissement basé sur l’IA en 2015, avant de se tourner vers la philanthropie en 2020 avec la création d’un fonds caritatif. Un profil singulier qui imprime à DeepSeek une approche à contre-courant des modèles américains dominants.

Un challenger qui bouscule les géants américains 

OpenAI et Google dominent l’IA générative, mais DeepSeek redistribue les cartes. Cette IA chinoise ne se contente pas d’être une alternative, elle rivalise en performance avec GPT-4 tout en étant moins gourmande en ressources et plus abordable.  

Quels sont ses atouts face aux géants américains ?  

Des coûts d’exploitation ultra-compétitifs 

Alors qu’OpenAI mobilise plus de 16 000 puces Nvidia pour entraîner ses modèles, DeepSeek parvient à des performances comparables avec seulement 2 000 GPU. Résultat : des coûts d’exploitation drastiquement réduits, avec une facture limitée à 6 millions de dollars en puissance de calcul, contre des milliards pour son rival américain.  

Des performances qui défient GPT-4 

DeepSeek ne mise pas uniquement sur l’efficacité, il rivalise aussi avec les modèles américains sur la qualité des résultats. Son modèle de base, DeepSeek-V3, offre des performances comparables à ChatGPT pour répondre aux questions complexes, générer du texte fluide et rédiger du code. Mais le véritable exploit vient de DeepSeek R1, sa version avancée, qui égale GPT-4 en matière de raisonnement logique et de compréhension contextuelle. Une prouesse qui lui a valu des éloges de Sam Altman, PDG d’OpenAI.  

Une IA plus abordable et accessible 

Grâce à ces économies sur les coûts d’exploitation, DeepSeek frappe fort sur les prix. Là où OpenAI et Google facturent leurs modèles avancés au prix fort, la startup chinoise casse les codes avec une stratégie tarifaire ultra-agressive : 100 % gratuit pour le grand public, et jusqu’à 40 fois moins cher pour les entreprises.  

Une technologie open source qui change la donne 

Là où OpenAI et Google verrouillent leurs modèles, DeepSeek joue la carte de l’open source. Son code est accessible à tous, permettant aux développeurs de l’explorer, de l’adapter et de l’améliorer. 

Pourquoi c’est un atout ? 

• Flexibilité : Les entreprises peuvent le personnaliser selon leurs besoins, sans dépendre d’une plateforme tierce. 

• Innovation : Les développeurs peuvent l’intégrer dans leurs propres outils et créer de nouvelles applications. 

• Transparence : Un accès ouvert au code permet de mieux identifier et corriger d’éventuels biais. 

DeepSeek : Une IA prometteuse, mais à quel prix ? 

Si DeepSeek séduit par ses performances et son modèle open source, il soulève aussi de nombreuses interrogations en matière de protection des données et de cybersécurité. Voici les principales menaces à prendre en compte avant d’envisager son utilisation :  

Stockage opaque & absence de transparence 

• Contrairement aux acteurs occidentaux soumis à des obligations de transparence, DeepSeek ne précise pas l’emplacement exact de ses serveurs. 

• Les utilisateurs ne savent pas si leurs données sont traitées en Chine, dans des pays tiers, ou répliquées ailleurs.  

Données partagées avec le gouvernement chinois si besoins  

• La loi chinoise sur la cybersécurité impose aux entreprises technologiques de partager sur demande certaines données avec les autorités locales. 

• Aucune garantie contractuelle ne permet de s’assurer que les informations ne seront pas exploitées à d’autres fins. 

Conservation des données illimitée 

• La politique de confidentialité de DeepSeek ne précise pas combien de temps les données sont stockées. 

• Sans clause de suppression automatique, les informations pourraient être exploitées indéfiniment. 

Des réponses biaisées  

• DeepSeek applique des règles de censure conformes aux exigences chinoises. 

• Certains sujets sensibles (politique, droits de l’homme, événements historiques) sont évités ou filtrés. 

Risque de transfert illégal de données hors UE 

• Sans garantie sur la localisation des serveurs, il est probable que les données soient stockées en Chine ou sur des infrastructures cloud hors UE, soulevant des risques de transferts illégaux et de non-conformité au RGPD. 

• DeepSeek ne mentionne pas de clauses de protection des transferts (ex. clauses contractuelles types exigées par le RGPD).  

Manque de transparence sur les protocoles de cybersécurité 

• DeepSeek ne communique pas sur les normes et certifications de sécurité appliquées à son infrastructure. 

• Aucune information claire sur la fréquence des audits ou des tests de pénétration. 

Un modèle open source exploitable par des acteurs malveillants 

• Si l’open source a ses avantages, il facilite aussi le détournement de la technologie. 

• DeepSeek peut être modifié et réutilisé par des groupes cybercriminels pour lancer des attaques sophistiquées.  

À savoir : Le 27 janvier, DeepSeek a suspendu les inscriptions à sa plateforme après avoir été la cible d’une cyber-attaque de grande ampleur. 

Pas de garanties sur la sécurité des échanges 

• Aucune preuve que les interactions avec DeepSeek sont chiffrées de bout en bout. 

• Sans protocole de cryptage avancé, les conversations et requêtes pourraient être interceptées. 

Les régulateurs à l'affût : DeepSeek sous surveillance 

Quelques jours après son lancement, DeepSeek est déjà dans le viseur des autorités de protection des données. Son succès fulgurant s’accompagne de nombreuses interrogations sur la gestion des données personnelles. 

L’Italie ouvre le bal 

Le 28 janvier, la GPDP italienne alerte sur des « risques élevés » pour les utilisateurs et exige des clarifications sur les données collectées, leur finalité et leur stockage. DeepSeek a vingt jours pour répondre. Coïncidence ou non, l’application disparaît des stores Google et Apple en Italie dès le lendemain. 

Des doutes en Irlande, Australie et Belgique 

L’Irlande (DPC) et l’Australie expriment leurs inquiétudes, notamment sur un stockage des données hors des garanties européennes. En Belgique, une association de consommateurs dépose une plainte pour demander une enquête. 

Et en France ? La CNIL enquête 

Aucune plainte reçue pour l’instant, mais la CNIL a lancé une analyse et prévoit d’interroger DeepSeek sur son fonctionnement, l’origine de ses données et ses risques pour la protection des utilisateurs. Une mise en conformité forcée pourrait suivre si des infractions au RGPD sont constatées. 

Conclusion : une promesse encore trop floue pour votre conformité 

DeepSeek affiche un potentiel indéniable, mais à quel prix ? Son cadre de conformité au RGPD et à l’IA Act reste flou, soulevant trop d’incertitudes pour une adoption sereine. 

À ce stade, mieux vaut patienter et observer comment la startup répond aux questions des régulateurs. Les enquêtes en cours et les décisions à venir seront déterminantes pour évaluer la fiabilité de cet outil dans un cadre légal européen. 

Par ailleurs, pendant que DeepSeek est sous pression, d’autres acteurs, plus transparents et respectueux des réglementations, affinent leurs modèles et pourraient bien offrir une alternative tout aussi performante. 

Bref, inutile de vous précipiter (d’autant plus que les inscriptions sont suspendues). Si DeepSeek fait son retour, suivez de près les conclusions des autorités avant d’envisager son intégration. Affaire à suivre.