DeepSeek est-il sûr ? Ce qu’il faut savoir avant d’y confier vos données

Pour un chatbot d’IA, le risque ne se limite donc pas à l’adresse e-mail d’inscription ou à l’adresse IP. Le point sensible, c’est souvent ce que l’on colle dans la fenêtre de conversation : un extrait de contrat, une base clients, un document interne, un morceau de code, une note RH, une donnée médicale ou financière. Puisque la politique de DeepSeek inclut les « user inputs » parmi les données pouvant être collectées, il ne faut pas considérer l’interface de chat comme un espace privé par défaut.

DeepSeek indique aussi que les données personnelles peuvent être utilisées pour exploiter, fournir, développer et améliorer ses services, et qu’elles sont conservées aussi longtemps que nécessaire pour les finalités prévues par sa politique. La règle pratique est simple : si une information poserait problème en cas de conservation, de traitement ou de fuite, ne la saisissez pas dans l’outil.

Où les données sont-elles traitées et stockées ?

La politique de DeepSeek précise que les données personnelles peuvent être directement collectées, traitées et stockées en Chine. NPR a également rapporté que, selon les conditions de l’entreprise, les données collectées auprès d’utilisateurs américains étaient envoyées vers des serveurs en Chine, et que des régulateurs internationaux s’interrogeaient sur l’usage de ces données.

Cela ne prouve pas, en soi, que les données seront mal utilisées. Mais dans une analyse de risque, le lieu de traitement et de stockage compte. C’est particulièrement vrai pour les entreprises, cabinets juridiques, acteurs financiers ou de santé, administrations, collectivités et plus largement toute organisation qui doit contrôler précisément où vont ses données et qui peut y accéder.

Les alertes de sécurité à prendre au sérieux

Au-delà de la politique de données, plusieurs points techniques méritent l’attention. Krebs on Security, citant une analyse de NowSecure sur l’application iOS de DeepSeek, rapporte que l’application avait désactivé App Transport Security, transmettait une partie des données de l’appareil sans chiffrement et utilisait l’algorithme 3DES, aujourd’hui ancien, avec une clé inscrite en dur dans l’application.

Krebs cite aussi des recherches de Wiz selon lesquelles DeepSeek aurait exposé une base de données accessible publiquement contenant plus d’un million de lignes de journaux, dont des historiques de chat, des secrets d’API et des informations de backend. Selon ce rapport, DeepSeek a corrigé le problème après en avoir été informé.

Ces éléments ne signifient pas que toute utilisation de DeepSeek est dangereuse en permanence. En revanche, ils suffisent à déconseiller l’outil pour des informations sensibles ou pour un environnement qui exige un niveau élevé de sécurité et de traçabilité.

Une application tierce intégrant DeepSeek est-elle plus sûre ?

Pas forcément. Le nom « DeepSeek » ne suffit pas à évaluer le risque. DeepSeek précise que sa politique de confidentialité ne couvre pas le traitement des informations personnelles des utilisateurs finaux lorsqu’ils accèdent à des systèmes ou applications « downstream » développés par des tiers à partir de sa plateforme ouverte.

Autrement dit, si vous utilisez DeepSeek dans une autre application, la sécurité dépend aussi de cette application : quelles données collecte-t-elle ? Où les stocke-t-elle ? Combien de temps les conserve-t-elle ? Les partage-t-elle avec d’autres prestataires ? Comment les protège-t-elle ? Dans ce cas, il faut lire les conditions et la politique de confidentialité du service intermédiaire, pas seulement celles de DeepSeek.

Checklist pour réduire les risques

Si vous souhaitez tout de même tester DeepSeek, appliquez quelques règles de base :

1. Ne saisissez pas de données sensibles. Évitez les mots de passe, clés API, données clients, numéros d’identification, contrats, données financières, dossiers médicaux, documents juridiques, secrets d’affaires et code source privé.
2. Anonymisez avant de coller un texte. Remplacez les noms, e-mails, numéros de téléphone, noms d’entreprise, identifiants de projet et autres éléments reconnaissables par des valeurs fictives.
3. Ne téléversez pas de fichiers internes. Un document peut contenir des métadonnées, commentaires, historiques de modification ou informations cachées que vous n’aviez pas l’intention de partager.
4. Séparez les usages personnels et professionnels. N’utilisez pas une adresse e-mail d’entreprise si votre organisation n’a pas approuvé l’outil.
5. Méfiez-vous des intégrations tierces. Si une application affirme utiliser DeepSeek, vérifiez sa propre politique de confidentialité, car celle de DeepSeek ne s’applique pas nécessairement aux systèmes « downstream ».
6. Pour une organisation, faites une analyse avant déploiement. Définissez les données autorisées, le lieu de stockage, les droits d’accès, les exigences de conformité, les possibilités d’audit et la procédure en cas d’incident.

Le point à retenir

DeepSeek peut être utile pour explorer un sujet général, reformuler un texte public ou tester un prompt sans enjeu. Mais les sources disponibles ne permettent pas de le considérer comme un environnement adapté aux données sensibles ou aux exigences de sécurité élevées.

La bonne pratique est donc de garder hors de l’outil tout ce qui ne devrait pas circuler : mots de passe, données clients, documents internes, secrets d’affaires, informations juridiques, médicales ou financières, et code source privé.