De opkomst van DeepSeek, een Chinese AI-chatbot die snel populair is geworden als een goedkoop alternatief voor ChatGPT, heeft aanzienlijke zorgen over gegevensprivacy en beveiliging gewekt. Hoewel het platform indrukwekkende AI-mogelijkheden biedt voor een fractie van de kosten van zijn concurrenten, roepen de praktijken voor gegevensverwerking en de beveiligingskwetsbaarheden serieuze vragen op voor gebruikers, vooral met betrekking tot de bescherming van persoonlijke informatie en de naleving van internationale privacyregelgeving. In dit artikel gaan we in op de feiten en zoeken we uit: is DeepSeek veilig om te gebruiken?
Wat is DeepSeek?
DeepSeek is een groot taalmodel (LLM) ontwikkeld door het Chinese bedrijf Hangzhou DeepSeek Artificial Intelligence Co., Ltd. De AI-service genereert tekst op basis van gebruikersinvoer en leert van gesprekken om de prestaties te verbeteren. Wat DeepSeek onderscheidt, is de claim dat het geavanceerde AI-mogelijkheden levert tegen aanzienlijk lagere kosten dan Amerikaanse concurrenten zoals OpenAI’s ChatGPT, met gebruik van minder gespecialiseerde computerchips.
DeepSeek werd in december 2023 gelanceerd en kreeg direct veel tractie. In januari 2024 zorgde dit ervoor dat de aandelenkoers van Nvidia, een bedrijf dat gespecialiseerde computerchips produceert, met 17% flink daalde, omdat het er plotseling op leek dat er niet veel chips nodig waren om goede resultaten te behalen.
Het platform biedt zowel een webinterface als mobiele apps en is in veel landen de meest gedownloade gratis app geworden in zowel de Apple- als de Google Play-store. Deze snelle adoptie is echter gepaard gegaan met toenemende privacy- en beveiligingszorgen van regulatoren wereldwijd.
Bewaart DeepSeek mijn gegevens?
Ja, DeepSeek verzamelt en bewaart uitgebreid gebruikersgegevens. Volgens het officiële DeepSeek privacybeleid verzamelt DeepSeek informatie in drie hoofdcategorieën:
Informatie die u verstrekt
- Accountgegevens: e-mailadres, telefoonnummer, geboortedatum, gebruikersnaam en wachtwoord
- Content-invoer: alle tekst, audio, prompts, geüploade bestanden en chatgesprekken
- Ondersteuning Interacties: identiteitsverificatie documenten, leeftijdsverificatie en feedback
Automatisch verzamelde informatie
- Apparaatgegevens: IP-adres, unieke apparaat-identificaties, apparaat model, besturingssysteem en prestatiegegevens
- Gedragstracking: toetsaanslagpatronen, systeemtaal, gebruiksgegevens en automatisch toegewezen gebruikers-ID’s
- Netwerkactiviteit: cookies en betaalinformatie
Informatie uit andere bronnen
- Derdengegevens: informatie van social media-logins (Google, Apple) en advertentiepartners
- Externe tracking: gegevens over gebruikersactiviteiten buiten de DeepSeek-service
Waarom verzamelt DeepSeek zoveel gegevens?
De uitgebreide gegevensverzameling van DeepSeek dient meerdere doeleinden, vergelijkbaar met andere AI-platforms maar met enkele zorgwekkende verschillen:
AI-training en modelverbetering
De primaire reden voor gegevensverzameling is het trainen en verbeteren van DeepSeeks AI-modellen. Het bedrijf gebruikt gebruikersinvoer en -uitvoer om de model prestaties te verbeteren, “hallucinaties” (onjuiste of gefabriceerde reacties) te verminderen en nieuwe functies te ontwikkelen. In tegenstelling tot sommige concurrenten biedt DeepSeek echter beperkte transparantie over hoe gebruikers dit gegevensgebruik kunnen controleren.
Veiligheids- en beveiliging monitoring
DeepSeek monitort gegevens om misbruik te voorkomen, het genereren van schadelijke content tegen te gaan en de platformstabiliteit te handhaven. Het bedrijf stelt dat het interacties beoordeelt om naleving van het gebruiksbeleid te waarborgen en bescherming tegen misbruik te bieden.
Service-optimalisatie
Gegevensverzameling helpt DeepSeek gebruikerservaringen te personaliseren, de nauwkeurigheid van reacties te verbeteren en de platformprestaties te optimaliseren op verschillende apparaten en gebruiksscenario’s.
Gegevensprivacy zorgen bij DeepSeek
Opslag in China
Mogelijk de meest significante zorg is dat alle DeepSeek-gebruikersgegevens worden opgeslagen op servers in China. Dit roept verschillende kritieke problemen op:
- Overheidstoegang: onder Chinese cyberbeveiligingswetten zijn bedrijven verplicht autoriteiten op verzoek toegang tot gegevens te verlenen
- Beperkt juridisch verhaal: Europese en Amerikaanse gebruikers hebben weinig juridische bescherming of verhaal bij gegevensmisbruik in China
- Gegevenssoevereiniteit: de overdracht van persoonlijke gegevens van de EU naar China schendt de AVG-vereisten zonder juiste waarborgen
AVG-nalevingsproblemen
Beveiligingsexperts en regulatoren hebben talrijke AVG-schendingen geïdentificeerd in de werkwijze van DeepSeek:
- Gebrek aan transparantie: het privacybeleid legt de gegevensverzamelingspraktijken niet duidelijk uit in lokale talen
- Ontbrekende juridische basis: geen duidelijke identificatie van wettige voorwaarden voor gegevensverwerking onder Artikel 6 AVG
- Ontoereikende gebruikersrechten: beperkte mechanismen voor gebruikers om hun rechten uit te oefenen om gegevens in te zien, te corrigeren of te verwijderen
- Geen functionaris gegevensbescherming: afwezigheid van de vereiste AVG-naleving infrastructuur
Toestemming en gebruikerscontrole
De benadering van DeepSeek ten aanzien van gebruikerstoestemming heeft aanzienlijke zorgen opgewekt:
- Breed gegevensgebruik: het privacybeleid staat uitgebreid gebruik van gebruikersgegevens toe met beperkte opt-out-opties
- Onduidelijke trainingstoestemming: gebruikers begrijpen mogelijk niet volledig hoe hun gegevens bijdragen aan AI-modeltraining
- Automatisch gegevens delen: informatie wordt gedeeld met groepsentiteiten en advertentie partners met minimale gebruikerscontrole
Beveiligingskwetsbaarheden in DeepSeek
Meerdere beveiligingsaudits hebben ernstige kwetsbaarheden in de implementatie van DeepSeek onthuld:
Beveiligingsfouten in mobiele apps
Beveiligingsonderzoekers hebben kritieke zwakheden geïdentificeerd in de mobiele applicaties van DeepSeek. Volgens de analyse van NowSecure:
- Onversleutelde gegevensoverdracht: gevoelige gebruikersgegevens worden via internet verzonden zonder versleuteling
- Zwakke cryptografie: gebruik van verouderde 3DES-versleuteling met hardgecodeerde sleutels
- Uitgeschakelde beveiligingsfuncties: iOS App Transport Security (ATS) is opzettelijk uitgeschakeld
- Kwetsbaar voor aanvallen: hoge gevoeligheid voor man-in-the-middle-aanvallen en het onderscheppen van gegevens
De analyse van het STRIKE-team van SecurityScorecard onthulde aanvullende zorgen:
- Hardgecodeerde versleutelingssleutels: cryptografische sleutels rechtstreeks opgeslagen in de app-code
- SQL-injectiekwetsbaarheden: potentieel voor databasemanipulatie
- Anti-debugging-mechanismen: pogingen om beveiligingsanalyse te voorkomen
- ByteDance-integratie: niet-openbaar gemaakte verbindingen met het moederbedrijf van TikTok
Infrastructuur blootstellingen
Begin 2025 ontdekten beveiligingsonderzoekers een grote infrastructuurkwetsbaarheid:
- Blootgestelde database: een publiek toegankelijke ClickHouse-database met chat geschiedenissen, API-geheimen en operationele details
- Volledige database controle: de blootstelling stond volledige controle over database operaties toe zonder authenticatie
- Lek van gevoelige informatie: meer dan een miljoen regels logstromen met gebruikersinteracties en backend-gegevens
AI-model kwetsbaarheden
Beveiligingsonderzoek door Theori vond zorgwekkende zwakheden in de AI-modellen van DeepSeek:
- Gevoeligheid voor jailbreaking: hoog succespercentage voor aanvallen die veiligheidsmaatregelen omzeilen
- Slechte veiligheidsprestaties: faalde in 61% van de kennisbasistests en 58% van de jailbreak tests
- Generatie van kwaadaardige content: 11x meer kans om gevaarlijke output te produceren dan westerse alternatieven
Regelgevingsrespons en verboden
De privacy- en beveiligingszorgen rondom DeepSeek hebben in meerdere jurisdicties snelle regelgevingsacties veroorzaakt:
Europese Unie
- Italië: eerste land dat DeepSeek verbood, onder verwijzing naar AVG-schendingen en slechte privacybescherming
- Nederland: de privacywaakhond waarschuwde gebruikers over het uploaden van persoonlijke informatie
- Ierland en België: openden formele onderzoeken naar de gegevenspraktijken van DeepSeek
Andere landen
- Australië: verbood DeepSeek op overheidsapparaten als een “onaanvaardbaar risico” voor de nationale veiligheid
- Zuid-Korea: stelde vast dat DeepSeek gebruikersgegevens overdroeg zonder toestemming en verbood de app
- Taiwan: blokkeerde de toegang vanwege zorgen over de nationale veiligheid
Verenigde Staten
- Overheidsinstanties: NASA, de Amerikaanse marine en Congrespersoneel waarschuwden tegen het gebruik van DeepSeek
- Veiligheidszorgen: functionarissen onderzoeken potentiële implicaties voor de nationale veiligheid
Hoe kan je DeepSeek veilig gebruiken?
Voor gebruikers die ervoor kiezen DeepSeek te blijven gebruiken ondanks deze risico’s, kunnen verschillende beschermende maatregelen helpen de blootstelling te minimaliseren:
Gegevens minimaliseren
- Beperk persoonlijke informatie: vermijd het delen van gevoelige persoonlijke details, bedrijfsinformatie of vertrouwelijke gegevens
- Gebruik generieke vragen: formuleer vragen zonder persoonlijke context of identificerende informatie te onthullen
- Regelmatige account beoordelingen: bekijk en verwijder periodiek de chatgeschiedenis wanneer mogelijk
Technische bescherming
- Veilige verbindingen: gebruik altijd veilige wifi-netwerken of VPN’s bij het benaderen van DeepSeek
- Apparaatbeveiliging: houd apparaten bijgewerkt en gebruik aanvullende beveiligingssoftware
- Monitor gegevensgebruik: wees bewust van welke informatie u verstrekt en hoe deze gebruikt kan worden
Alternatieve opties
- Lokale modellen: overweeg lokaal gehoste AI-modellen die geen gegevens naar externe servers sturen
- Europese alternatieven: gebruik AI-services met betere privacybescherming en AVG-naleving
- Professionele services: overweeg voor zakelijk gebruik AI-as-a-Service-aanbieders met juiste gegevensbeschermingsmaatregelen
Zakelijke implicaties en aanbevelingen
Organisaties die DeepSeek overwegen, moeten zich bewust zijn van significante compliance- en beveiligingsrisico’s:
Juridische aansprakelijkheid
- AVG-schendingen: het gebruik van DeepSeek voor de verwerking van klantgegevens kan bedrijven blootstellen aan regelgevingsboetes
- Verantwoordelijkheid als verwerkingsverantwoordelijke: bedrijven blijven aansprakelijk voor schendingen door externe verwerkers
- Compliance due diligence: organisaties hebben de plicht ervoor te zorgen dat dienstverleners voldoen aan de gegevensbeschermingsstandaarden
Risicobeoordeling
- Beperkingen voor gevoelige gegevens: vermijd het gebruik van DeepSeek voor de verwerking van persoonlijke, financiële of vertrouwelijke bedrijfsinformatie
- Sectoroverwegingen: de gezondheidszorg, financiën en juridische sectoren lopen verhoogde risico’s
- Contractuele beperkingen: implementeer bij gebruik van DeepSeek strikte contractuele beperkingen op het gegevensgebruik
Alternatieve strategieën
- Privacy-first-aanbieders: kies AI-services met transparante privacypraktijken en lokale gegevenshosting
- Hybride benaderingen: gebruik DeepSeek alleen voor niet-gevoelige algemene vragen en behoud veilige alternatieven voor vertrouwelijk werk
- Professioneel advies: overweeg AI-consultancyservices voor implementatierichtlijnen en risicobeoordeling
De bredere context: AI en privacy
De DeepSeek-zaak benadrukt fundamentele spanningen in de AI-industrie tussen innovatie en privacybescherming:
Wereldwijde AI-competitie
- Kosten versus privacy: de afweging tussen betaalbare AI-services en gegevensbescherming
- Regelgevingsfragmentatie: verschillende privacystandaarden tussen jurisdicties creëren compliance-uitdagingen
- Technologische soevereiniteit: landen die controle uitoefenen over AI-technologieën en gegevensstromen
Industrie-brede problemen
- Ethiek van gegevenstraining: de bredere vraag over het gebruik van persoonlijke gegevens voor AI-modeltraining zonder expliciete toestemming
- Transparantie-uitdagingen: veel AI-bedrijven worstelen met duidelijke communicatie over gegevenspraktijken
- Gebruikers educatie: de behoefte aan beter begrip van AI-privacyrisico’s onder consumenten
Conclusie
DeepSeek vertegenwoordigt een significante ontwikkeling in het AI-landschap en biedt geavanceerde mogelijkheden tegen lagere kosten. De gegevensprivacy- en beveiligingspraktijken roepen echter ernstige zorgen op die gebruikers en organisaties zorgvuldig moeten overwegen. De uitgebreide gegevensverzameling, de opslag in China, de AVG-naleving fouten en de beveiligingskwetsbaarheden creëren substantiële risico’s die voor veel gebruiksscenario’s mogelijk zwaarder wegen dan de voordelen van het platform.
Voor individuele gebruikers moet de beslissing om DeepSeek te gebruiken genomen worden met volledig bewustzijn van de betrokken privacy-afwegingen. Persoonlijke en gevoelige informatie mag nooit gedeeld worden met het platform, en gebruikers moeten overwegen of het gemak de potentiële risico’s voor hun gegevensprivacy rechtvaardigt.
Voor bedrijven zijn de risico’s nog meer uitgesproken. Het potentieel voor AVG-schendingen, gegevens lekken en regelgeving onderzoek maakt DeepSeek ongeschikt voor de meeste commerciële toepassingen, vooral die met klantgegevens of gevoelige bedrijfsinformatie. De regelgeving responsen van meerdere landen tonen aan dat de zorgen over DeepSeek niet louter theoretisch zijn, maar echte risico’s vertegenwoordigen voor de privacy van gebruikers en de nationale veiligheid.
Terwijl de AI-industrie blijft evolueren, dient de DeepSeek-zaak als een belangrijke herinnering dat innovatie in balans moet zijn met robuuste privacybescherming en naleving van regelgeving. Organisaties moeten prioriteit geven aan AI-oplossingen die duidelijke toewijding tonen aan gegevensbescherming, transparantie en gebruikersrechten. Hoewel DeepSeek aantrekkelijke functies en prijzen kan bieden, kunnen de privacy- en beveiligingskosten te hoog zijn voor verantwoorde inzet in de meeste contexten.
Voor wie AI-assistentie met privacybescherming nodig heeft: overweeg alternatieven te verkennen die betere gegevens governance en lokale verwerkingsopties bieden, of raadpleeg privacy-gerichte AI-serviceproviders die kunnen helpen deze complexe overwegingen veilig en conform te navigeren.
