di Emanuele Florindi

Passate le due settimane di "sbornia" da DeepSeek, la piattaforma di intelligenza artificiale open source, sviluppata dalla Cina, che ha fatto tremare le borse americane e vivisezionare ogni singolo aspetto della nuova realtà di IA generativa, proviamo ad approfondire la questione che riguarda i nostri dati. Come accadde già per OpenAI, che a dicembre 2024 si è vista comminare una sanzione di 15 milioni di euro, l'azienda cinese ha attirato l'attenzione del Garante per la protezione dei dati personali che dapprima ha chiesto informazioni e, successivamente, ha bloccato il trattamento, disponendo, in via d’urgenza e con effetto immediato, la limitazioni relative agli utenti italiani nei confronti di Hangzhou DeepSeek Artificial Intelligence e di Beijing DeepSeek Artificial Intelligence, le società cinesi che forniscono il servizio di chatbot DeepSeek.

Si tratta di un caso emblematico delle sfide che le aziende tecnologiche devono affrontare quando operano in un contesto normativo sempre più stringente e di fronte ad utenti che vedono i loro diritti sempre più esposti. Nel caso specifico il Garante ha contestato all'azienda di non rispettare pienamente i principi di trasparenza, minimizzazione dei dati e consenso informato, pilastri fondamentali del GDPR.

Le accuse del Garante

Il Garante già da tempo sta affrontando il difficile tema della protezione dei dati personali di fronte alle sfide poste dalle nuove tecnologie, con particolare riguardo ai dati di ogni individuo impiegati per l’addestramento dei sistemi di AI ed ha ritenuto che DeepSeek rappresentasse un serio pericolo per gli utenti. Le principali contestazioni riportate nel provvedimento di blocco riguardano:

1. Mancato riscontro alle richieste di informazione del Garante: la società non ha chiarito gli aspetti principali riguardanti le attività di trattamento poste in essere nell’ambito del servizio DeepSeek.
2. Mancanza di trasparenza: DeepSeek è stata accusata di non fornire informazioni chiare e accessibili su come i dati personali degli utenti vengono raccolti, elaborati e condivisi. Molti utenti non erano consapevoli dell'effettiva portata della profilazione a cui erano sottoposti.
3. Trasferimento dei dati presso la RPC: i dati raccolti dal titolare nell’ambito della fornitura del servizio DeepSeek sono conservati presso la Repubblica popolare cinese, in violazione delle garanzie previste dal Regolamento, in particolare dell’articolo 32 in materia di sicurezza del trattamento.
4. Mancata nomina di un Rappresentante: la società, pur essendo tenuto a rispettare il Regolamento in quanto offre un servizio ai cittadini europei non ha designato, come imposto dal GDPR, un proprio rappresentante sul territorio europeo;
5. Consenso non valido: Secondo il Garante, l'azienda non ha ottenuto un consenso esplicito e informato dagli utenti per l'utilizzo dei loro dati personali. In molti casi, il consenso sarebbe stato ottenuto tramite meccanismi opachi o pre-selezionati, violando il principio di libertà di scelta.
6. Eccessiva raccolta di dati: DeepSeek è stata accusata di raccogliere più dati del necessario per le finalità dichiarate, violando il principio di minimizzazione dei dati. Questo trattamento avrebbe incluso anche la raccolta di dati particolari, come preferenze politiche, orientamenti religiosi e abitudini di consumo, senza che vi fosse una giustificazione valida.
7. Sicurezza insufficiente: L'indagine ha anche evidenziato carenze nella sicurezza dei dati, con rischi di accessi non autorizzati e violazioni della riservatezza degli utenti.

Le conseguenze per DeepSeek

A seguito dell'indagine, il Garante ha imposto a DeepSeek una serie di sanzioni e misure correttive disponendone il blocco. DeepSeek dovrà ora rivedere le proprie politiche sulla privacy, garantendo maggiore trasparenza, ottenendo un valido consenso dagli utenti e prevedendo migliori e più efficaci misure di sicurezza per i dati raccolti al fine di ridurre i rischi di violazioni.

Le reazioni di DeepSeek

DeepSeek ha inizialmente respinto parte delle accuse, sostenendo di non operare in Italia e di aver sempre agito in buona fede e di essere stata vittima di un'interpretazione eccessivamente rigida delle normative e, ad oggi, la piattaforma risulta ancora attiva e raggiungibile dall’Europa, sebbene le relative applicazioni siano state rimosse dai market di Google e di Apple.

Implicazioni per il settore tecnologico

Il caso di DeepSeek, per molti aspetti ad oggi unico al mondo, rappresenta un intervento significativo nel tentativo di garantire una regolamentazione etica dell’intelligenza artificiale e del trattamento da questa operato dei dati personali: la questione non riguarda soltanto l’applicazione cinese, ma praticamente tutte le applicazioni che offrono servizi basati su intelligenza artificiale. Si tratta di un campo in cui, oggi, l’Europa è all’avanguardia con provvedimenti legislativi come il GDPR o l’AI Act, ma che, per forza di cose, non può prescindere da una visione internazionale e globale.

La necessità di regole globali

Oggi la questione non è più soltanto economica: sul tappeto devono essere poste questioni molto più ampie come, ad esempio, differenti culture e le diverse visioni del mondo che spingono verso una realtà ibrida (fatta di economia, informazioni e disinformazione) sempre più aspra. In questo scenario le varie piattaforme sono diventate player fondamentali: dal ruolo giocato da Telegram nel conflitto Russo-Ucraino alle problematiche sollevate dall’impiego per finalità commerciali o elettorali di strumenti come DeepFake oggi le battaglie economiche, commerciali  e politiche si combattono sempre più spesso attraverso le arene rappresentate dalle piattaforme digitali, e sovente a suon di potenza di calcolo di AI ed in questo contesto l’Europa è drammaticamente ferma al palo.

Ed ora, come andrà a finire?

Il caso di DeepSeek rappresenta da un lato un preciso monito per tutte le aziende che operano nel campo dell'analisi dei dati e dell'intelligenza artificiale, ma dall’altro è anche un preciso invito per l’Europa ad investire in tecnologia e ricerca se non vuole rimanere ostaggio di strumenti informatici controllati da operatori (cinesi o americani poco cambia) che non offrono adeguate garanzie relativamente al rispetto dei diritti degli utenti. Quanto annunciato a Parigi nel primo Summit globale sull'intelligenza artificiale, voluto fortemente da Macron, con la Francia che già può recitare un ruolo importante grazie alla start up Mistral non è sufficiente. I 500 miliardi di dollari stanziati dall’amministrazione Trump per il piano Stargate, frutto della collaborazione tra OpenAI, Oracle e SoftBank per costruire un’infrastruttura AI senza precedenti, segnano una grande accelerazione nella corsa globale all’intelligenza artificiale. Nel frattempo, la Cina, oltre a DeepSeek risponde con Alibaba e la sua piattaforma Qwen-25, annunciata come un punto di svolta per la potenza di calcolo, mentre l’India si prepara a entrare in scena con un mix esplosivo di talenti e infrastrutture strategiche.

In questo scenario di investimenti miliardari e leadership tecnologiche sempre più definite, l’Unione Europea rischia di restare ai margini. I 200 miliardi annunciati a Parigi per i progetti futuri, senza una chiara destinazione, sembrano più una dichiarazione d’intenti che una strategia concreta. Senza un piano strutturato e investimenti mirati, l’Europa rischia di trasformarsi in spettatrice di un’innovazione che si gioca altrove e questo avrà ripercussioni negative per la protezione di dati dei cittadini europei.

Le buone pratiche per i nostri dati

Un ulteriore aspetto da considerare è cosa possiamo fare noi, cittadini europei, per tutelare i nostri dati? In linea di massima possiamo, e dobbiamo, prestare grande attenzione a ciò che pubblichiamo, sia come privati che come pubblica amministrazione. Gli stessi principi di trasparenza online delle PA vanno contemperati con le norme e i diritti della riservatezza, soprattutto oggi, nell’era dell’intelligenza artificiale e del web scraping dobbiamo fare molta attenzione a non pubblicare sui nostri siti dati importanti che potrebbero finire in pasto ai sistemi di AI. Già se si rispettassero le indicazioni generali in materia di protezione dei dati personali, si eviterebbero molti problemi legati alla possibilità di una profilazione di massa fatta con l’AI perché i dati accessibili ai sistemi di training e le risposte agli utenti sarebbero minimi. Le questioni in campo sono ampie e numerose, ma, per chi riesce a guardale nel giusto modo possono rivelarsi delle grandissime opportunità di crescita e di sviluppo.