DeepSeekは安全？プライバシー・データ管理・セキュリティを確認する

DeepSeekについて「安全か」と聞かれると、答えは単純なイエス／ノーではありません。公式のプライバシーポリシーと現時点で確認できる独立報告を踏まえると、公開しても問題ない内容や低リスクの実験には使える余地があります。一方で、個人情報、社内資料、顧客データ、契約書、ソースコード、法務・医療・金融関連の情報を入力する用途には向きません。

まず結論：何に使えて、何は避けるべきか

利用シーン	慎重な評価
一般知識の確認、公開予定の記事の下書き、個人情報を含まないプロンプト実験	基本的なプライバシーリスクを理解したうえでなら利用を検討できる
顧客・従業員情報、契約、財務データ、医療情報、法的文書の入力	避けるべき
社内資料、営業秘密、非公開ソースコードのアップロード	避けるべき
企業、官公庁、規制対応が必要な組織での利用	法務・情報セキュリティ・データガバナンスの事前評価が必要
DeepSeekを組み込んだ外部アプリ経由での利用	そのアプリ自身の規約とプライバシーポリシーを確認する必要がある。DeepSeekのポリシーがそのまま適用されるとは限らない。

DeepSeekはどんなデータを集める可能性があるのか

DeepSeekのプライバシーポリシーでは、アカウント作成、入力、直接の問い合わせ、サービス利用などの場面で、複数の種類の個人データを収集する可能性があると説明されています。対象には、アカウント情報、ユーザーが入力またはアップロードした内容、チャット履歴、問い合わせ時の情報、端末・ネットワーク情報、利用ログ、IPアドレス、おおよその位置情報などが含まれます。

AIチャットボットで特に注意すべきなのは、登録メールアドレスやIPアドレスだけではありません。むしろ大きなリスクは、会話欄に自分で入れてしまう内容です。たとえば、顧客名、社内プロジェクト名、契約条件、未公開資料、ソースコード、APIキー、会議メモなどは、入力した時点で「処理されるデータ」になり得ます。DeepSeekのポリシーではユーザー入力も収集対象に含まれるため、チャット欄を完全な私的空間と考えるべきではありません。

また、DeepSeekは個人データをサービスの運営、提供、開発、改善のために使う可能性があり、ポリシーに示された目的に必要な期間保持するとしています。 つまり、後で残っていると困る情報、外部で処理されると困る情報、漏えい時に説明責任が発生する情報は、最初から入力しないのが安全です。

データはどこで処理・保存されるのか

DeepSeekのプライバシーポリシーは、個人データが中国で直接収集、処理、保存される可能性があるとしています。 またNPRは、同社の条件に基づき、DeepSeekが米国ユーザーから収集したデータは中国のサーバーに送られると報じています。NPRはあわせて、各国の規制当局がDeepSeekのデータ利用について疑問を呈しているとも伝えています。

この事実だけで、データが必ず不正利用されると断定することはできません。ただし、データがどの国・地域で処理、保存されるかは、リスク評価では重要です。特に企業の法務、金融、医療、公共機関、研究開発部門など、扱う情報に厳しい管理が求められる場合は、保存場所やアクセス権限、委託先管理、監査可能性まで確認する必要があります。

独立報告で指摘されたセキュリティ上の懸念

プライバシーポリシーだけでなく、技術的な指摘も見逃せません。Krebs on Securityは、NowSecureによるDeepSeekのiOSアプリ分析を引用し、同アプリがApp Transport Securityを無効にしていたこと、一部の端末データを暗号化せず送信していたこと、古い暗号方式である3DESを使い、さらに鍵がアプリ内にハードコードされていたことを報じています。

同じくKrebs on Securityは、Wizの調査として、DeepSeekが過去に公開アクセス可能なデータベースを露出させていたとも伝えています。そのデータベースには100万行を超えるログが含まれ、チャット履歴、APIシークレット、バックエンド情報が含まれていたとされます。報告によれば、DeepSeekは通知を受けた後にこの問題を修正しました。

これらの指摘は、「DeepSeekを使うすべての場面が常に危険」という意味ではありません。しかし、機密性の高い情報を扱う環境として信頼できるかを判断するうえでは、十分に重い材料です。少なくとも、現時点の情報だけでDeepSeekを高セキュリティ環境とみなすのは慎重であるべきです。

外部アプリ経由なら安全になるのか

DeepSeekを直接使わず、別のアプリやサービスに組み込まれた形で使う場合もあります。この場合、「DeepSeekだから同じリスク」「別アプリだから安全」とは単純に言えません。

DeepSeekは、自社のオープンプラットフォームを使って開発された下流システムやアプリにおけるエンドユーザーの個人情報処理は、DeepSeekのプライバシーポリシーの対象外だと説明しています。 つまり、外部アプリ経由で使う場合は、そのアプリの運営者が何を収集し、どこに保存し、誰と共有し、どのくらい保持し、どのように保護するのかを別途確認する必要があります。

使うなら最低限守りたいチェックリスト

DeepSeekを試す場合は、次のルールでリスクを下げるのが現実的です。

1. 機密情報を入力しない。 パスワード、APIキー、顧客情報、個人識別番号、契約、財務データ、医療情報、法的文書、営業秘密、非公開ソースコードは避ける。
2. 入力前に匿名化する。 氏名、メールアドレス、電話番号、会社名、プロジェクト名、顧客名などは仮名や記号に置き換える。
3. 社内ファイルを安易にアップロードしない。 ファイルには本文以外に、メタデータ、コメント、変更履歴、作成者情報が残っていることがある。
4. 仕事用アカウントと試用アカウントを分ける。 組織が承認していない場合、会社のメールアドレスや業務データを使わない。
5. 外部アプリの規約も読む。 DeepSeekを使っているアプリでも、実際のデータ管理はそのアプリ側の方針に左右される。
6. 組織利用では事前審査を行う。 入力してよいデータの範囲、保存場所、アクセス権限、ログ管理、監査、インシデント対応、規制対応を確認してから導入を判断する。

まとめ

DeepSeekは、公開情報を使ったアイデア出しや、個人情報を含まない低リスクの試用には使える可能性があります。しかし、公式ポリシーが示すデータ収集範囲、データが中国で処理・保存され得る点、そして独立調査で報じられたセキュリティ上の懸念を踏まえると、機密情報を扱う道具としては慎重に見るべきです。

最も安全な使い方は明快です。DeepSeekに限らず、AIチャットボットには「漏れたら困る情報」を入れないこと。パスワード、顧客データ、社内資料、営業秘密、法務・医療・金融情報、非公開コードは、チャット欄の外に置いておきましょう。