DeepSeek y el RGPD / AI Act: un riesgo importante para sus datos

Presentación y datos tratados

DeepSeek es una IA generativa desarrollada por una start-up china, cuyos modelos (V3, R1) han conocido un éxito fulgurante a principios de 2025 gracias a un coste muy bajo y un modelo abierto. Este éxito se ha enfrentado inmediatamente a fuertes preocupaciones de protección de datos en Europa.

DeepSeek recopila los datos de cuenta (dirección de correo electrónico, etc.), los prompts e historiales de conversación, y datos técnicos. Su política de confidencialidad indica un almacenamiento en servidores situados en la República Popular China. Investigadores han señalado además fallos de seguridad (datos transmitidos sin cifrado, exposición de una base interna a principios de 2025).

Los riesgos para su empresa

El riesgo es directo y severo: transferencia de datos personales hacia China sin garantías, ausencia de DPA, base legal y transparencia deficientes, fallos de seguridad documentados. Utilizar DeepSeek con datos de clientes o de empleados expone a la empresa a un incumplimiento frontal.

Principales riesgos RGPD:

• Transferencia hacia China: no hay decisión de adecuación; garantías (SCC) no establecidas.
• Ausencia de contrato de encargado del tratamiento (artículo 28) conocido.
• Transparencia y base legal insuficientes (reproches de las autoridades).
• Seguridad: fallos y fugas documentados; ejercicio de derechos muy incierto.

Las obligaciones RGPD

1. Por principio: no transmitir datos personales a DeepSeek en su estado actual.
2. Si evaluación en curso: bloquear la herramienta en el SI y mediante la carta de IA.
3. Documentar la decisión de prohibición/supervisión en el registro de actividades de tratamiento.
4. Informar y sensibilizar a los equipos sobre el riesgo «servidores en China».
5. Implicar al DPO; vigilar el resultado de los procedimientos (Italia, CNIL, DPC, Bélgica).

Las obligaciones AI Act

Como proveedor de modelo GPAI, DeepSeek está sujeto al AI Act (obligaciones aplicables desde el 2 de agosto de 2025), que se aplica desde que el sistema es utilizado en la UE. El desplegador sigue sujeto a la transparencia (artículo 50), la supervisión humana y la alfabetización en IA — pero el primer desafío aquí es la legalidad misma del tratamiento en relación con el RGPD. Ver la guía AI Act.

Ciberseguridad y buenas prácticas

Riesgos ciber: fallos técnicos documentados (cifrado, exposición de base de datos), transferencia y almacenamiento fuera de la UE no controlados, shadow AI a través de la app gratuita. Riesgo mayor para las entidades NIS 2.

Buenas prácticas: prohibir DeepSeek para todo tratamiento de datos personales en la empresa; bloquear la aplicación en los terminales profesionales; privilegiar alternativas conformes/soberanas (ej. Mistral, Azure OpenAI, on-premise); carta de IA explícita, sensibilización, registro.

Checklist de conformidad:

• Uso de DeepSeek prohibido para los datos personales
• Aplicación bloqueada en los terminales profesionales, decisión documentada en el registro
• Alternativa conforme identificada, equipos sensibilizados sobre el riesgo «China»
• Posición establecida en la carta de IA, vigilancia sobre los procedimientos en curso, DPO implicado

Sanciones, conclusión y recomendaciones

Sanciones (dos regímenes acumulables): RGPD hasta 20 M€ o 4 % de la facturación mundial anual; AI Act hasta 35 M€ o 7 % para las prácticas prohibidas, y 15 M€ o 3 % para la mayoría de los demás incumplimientos. Contexto: el Garante italiano bloqueó DeepSeek desde enero de 2025; varias autoridades europeas (CNIL, DPC irlandesa, Bélgica) han iniciado análisis e investigaciones. La empresa usuaria que expusiera datos personales a través de DeepSeek se expondría a un incumplimiento RGPD caracterizado.

Recomendación: DeepSeek ilustra el riesgo «IA de bajo coste, conformidad inexistente». Mientras persistan la ausencia de garantías sobre las transferencias hacia China y el defecto de DPA, nuestra recomendación es sin ambigüedad: no utilizarla para datos personales en la empresa, bloquearla en el SI, y orientar a los equipos hacia alternativas conformes — idealmente soberanas como Mistral Le Chat. Compare con los demás asistentes: ChatGPT, Claude.