DeepSeek zagrożeniem dla prywatności w Europie?

Zdjęcie: https://www.euractiv.pl/section/praca-i-polityka-spoleczna/news/deepseek-zagrozeniem-dla-prywatnosci-w-europie/

Niemiecki organ ochrony danych wzywa do usunięcia aplikacji DeepSeek ze sklepów Apple i Google. Sprawa unaocznia systemowe napięcia między unijnymi standardami prywatności a rosnącą ekspansją chińskich technologii w Europie.

Berliński organ nadzorujący ochronę danych osobowych zwrócił się 27 czerwca do firm Apple i Google z żądaniem usunięcia chińskiej aplikacji DeepSeek ze sklepów z aplikacjami dostępnych na terenie Niemiec. Powodem ma być szeroki zakres przetwarzania danych osobowych i – co najważniejsze – transfer tych informacji do Chin, których system prawny nie zapewnia, zdaniem europejskich regulatorów, porównywalnego poziomu ochrony prywatności.

Zakres gromadzonych danych budzi niepokój

Aplikacja DeepSeek, która wykorzystuje modele sztucznej inteligencji do generowania treści, od początku wzbudzała nieufność europejskich urzędników. Już w momencie premiery aplikacja przyciągnęła uwagę organizacji zajmujących się ochroną prywatności. \

Gromadzi ona bowiem bardzo rozległy zakres informacji o użytkownikach. Rejestrowane są nie tylko wpisywane teksty, ale również dane takie jak lokalizacja, historia konwersacji, identyfikatory urządzeń, dane sieciowe, a choćby pojedyncze naciśnięcia klawiszy.

Tego rodzaju monitoring, o ile odbywa się bez odpowiedniego uzasadnienia i bez zgody użytkownika, może być uznany za naruszenie RODO. Zgodnie z tym unijnym aktem, dane osobowe mogą być przekazywane poza granice UE wyłącznie wtedy, gdy w kraju odbiorcy zapewniona jest równoważna ochrona prawna.

Jak dotąd Unia Europejska nie uznaje Chin za państwo oferujące poziom ochrony odpowiadający unijnym standardom. W ocenie niemieckich regulatorów transfer danych przez DeepSeek do Chin odbywa się zatem wbrew podstawowym zasadom wynikającym z art. 44 i następnych RODO.

Brak dowodów na zabezpieczenia

Meike Kamp, berlińska komisarz ds. ochrony danych osobowych, jasno zakomunikowała, iż przedstawiciele aplikacji DeepSeek nie byli w stanie wykazać, iż przetwarzanie danych użytkowników z Niemiec w chińskich systemach IT odbywa się z zachowaniem standardów ochrony równoważnych tym z UE.

Takie dowody są niezbędne, jeżeli firma zamierza legalnie przesyłać dane do państwa trzeciego, które nie znajduje się na tzw. liście państw uznanych za bezpieczne przez Komisję Europejską.

To nie pierwsze tego typu ostrzeżenie kierowane wobec chińskich aplikacji – wcześniejsze przypadki dotyczyły m.in. TikToka i aplikacji do rozpoznawania twarzy.

DeepSeek jest jednak pierwszym narzędziem generatywnej AI z Chin, które w tak krótkim czasie po wejściu na rynek spotkało się z formalnym żądaniem wycofania ze sklepów Apple i Google na podstawie ochrony danych osobowych.

Podejrzenia o powiązania z chińskimi służbami

Do wątpliwości związanych z prywatnością doszły w ostatnich tygodniach również doniesienia medialne, jakoby DeepSeek mogło przekazywać dane do chińskich służb wojskowych lub wywiadowczych.

Choć nie przedstawiono na razie bezpośrednich dowodów na współpracę aplikacji z organami państwa, takie oskarżenia stawiają europejskich regulatorów w trudnej sytuacji – tym bardziej iż unijne przepisy nakładają obowiązek oceny ryzyk dla wolności i praw osób fizycznych także w przypadku potencjalnych zagrożeń geopolitycznych.

Ryzyko wykorzystania danych przez organy państwowe kraju trzeciego – bez adekwatnych mechanizmów kontroli i możliwości dochodzenia roszczeń przez obywateli UE – było już wcześniej sygnalizowane przez Europejską Radę Ochrony Danych w kontekście przetwarzania danych w Chinach, Rosji i Indiach.

DeepSeek, jako produkt wykorzystujący zaawansowaną AI, może w tym kontekście budzić szczególnie duże obawy.

Próby dostosowania – za późno?

Pod presją greckiego organu ochrony danych firma DeepSeek podjęła próbę dostosowania się do formalnych wymagań RODO. W tym celu wyznaczyła swojego przedstawiciela prawnego na terenie Unii – austriacką firmę Prighter EU Rep GmbH z siedzibą w Wiedniu.

Taki krok jest wymagany, by podmiot spoza UE mógł legalnie przetwarzać dane obywateli Unii i odpowiadać na zapytania organów ochrony danych.

Jednak – jak zauważa berlińska komisarz Meike Kamp – formalne powołanie przedstawiciela nie rozwiązuje kluczowego problemu: braku gwarancji, iż dane użytkowników nie będą przekazywane do Chin w sposób niezgodny z unijnymi normami.

Jeżeli DeepSeek nie jest w stanie przedstawić szczegółowej dokumentacji technicznej i organizacyjnej wykazującej, iż dane są odpowiednio szyfrowane, anonimizowane i chronione przed dostępem chińskich władz, samo spełnienie obowiązków formalnych może okazać się niewystarczające.

Apple i Google w roli pośredników

Berliński organ nie zdecydował się na bezpośredni zakaz działalności aplikacji DeepSeek na terytorium Niemiec – zamiast tego zwrócił się do Apple i Google, jako operatorów największych sklepów z aplikacjami, z wnioskiem o usunięcie aplikacji ze swoich platform.

To podejście wpisuje się w nową strategię egzekwowania RODO, w której nacisk kładzie się nie tylko na bezpośrednich administratorów danych, ale również na pośredników technologicznych.

Google i Apple nie odniosły się jeszcze oficjalnie do żądania władz Berlina. Wcześniejsze przypadki wskazują jednak, iż firmy te są gotowe do usuwania aplikacji, o ile uzyskają formalne potwierdzenie, iż ich obecność w sklepie narusza obowiązujące przepisy krajowe lub unijne.

Z punktu widzenia użytkowników oznaczałoby to zablokowanie możliwości pobrania i aktualizacji DeepSeek na urządzeniach działających w Niemczech.

Europejski test dla chińskiej AI

Sprawa DeepSeek może stać się testem nie tylko dla skuteczności europejskiego systemu ochrony danych, ale również dla strategii UE w obszarze cyfrowej suwerenności.

Rosnąca obecność chińskich rozwiązań opartych na sztucznej inteligencji rodzi pytania o to, czy europejskie ramy regulacyjne są wystarczające, by chronić prawa obywateli w środowisku globalnej konkurencji technologicznej.

Żądanie usunięcia DeepSeek to jedno z pierwszych stanowczych działań krajowego organu ochrony danych wobec aplikacji AI z Chin, ale z pewnością nie ostatnie. W miarę jak europejscy konsumenci coraz częściej sięgają po zagraniczne narzędzia AI, regulatorzy będą musieli podejmować decyzje, które zadecydują o kształcie cyfrowego rynku w nadchodzących latach.