O DeepSeek é seguro? O que precisa de saber antes de experimentar o chatbot de IA

Apesar da crescente popularidade do seu chatbot e modelos de IA, as práticas da DeepSeek também têm levantado preocupações. Em questão está a privacidade dos dados dos utilizadores, mas também a sua segurança e, à medida que aumenta o escrutínio dentro e fora da Europa, com Portugal a fazer parte desta lista, surgem também vários alertas por parte de especialistas. 

Por exemplo, uma recente investigação realizada pela Enkrypt AI, mostra que as medidas de segurança implementadas pela DeepSeek podem ser contornadas. Como noticiado pelo website ComputerWeekly, o modelo usado pela empresa chinesa para “alimentar” o seu chatbot é descrito como “altamente enviesado”, sendo particularmente vulnerável à manipulação e suscetível à criação de conteúdo prejudicial.

Além disso, investigações demonstraram que o chatbot da DeepSeek censura determinados temas políticos sensíveis nas suas respostas e é capaz de responder fazendo alusões a propaganda do governo chinês, como avançam os jornais The New York Times e The Wall Street Journal.

As preocupações em torno do chatbot da DeepSeek prendem-se também com possíveis fugas de dados de utilizadores. Ainda esta semana, autoridades sul-coreanas afirmaram que a app da empresa chinesa enviou dados de utilizadores do país para a ByteDance, proprietária da rede social TikTok, também de origem chinesa.

Anteriormente, uma investigação da Feroot Security, uma empresa canadiana de cibersegurança, encontrou no website da DeepSeek código que liga a tecnológica à China Mobile, uma das principais empresas estatais de telecomunicações da China, que, em 2019, foi proibida nos Estados Unidos por motivos de segurança nacional.

Como sucede com qualquer tecnologia que se torna extremamente popular “do dia para a noite”, é normal que sinta curiosidade em experimentar. Mas é também proteger os seus dados e garantir a segurança. Por isso, para o ajudar a compreender os riscos, reunimos neste explicador um conjunto de perguntas e respostas importantes sobre o tema.

Que tipos de dados é que recolhe?

Ao analisar a política de privacidade da DeepSeek é possível constatar que a empresa recolhe uma vasta quantidade de dados. Note-se, no entanto, que outras soluções de IA, incluindo o ChatGPT da OpenAI, recolhem um vasto conjunto de dados, como indicam as suas políticas de privacidade, práticas essas que também mereceram o escrutínio das empresas na Europa e em outros países.

No caso da DeepSeek, a empresa indica que recolhe três tipos de dados: “informação fornecida pelo utilizador; informação automaticamente recolhida; e informação de outras fontes”.

Olhando para a primeira categoria, incluem-se dados da conta (como email e/ou número de telefone; password; data de nascimento e nome de utilizador); inputs dos utilizadores (como prompts, ficheiros carregados, histórico de conversas; e informação fornecida pelos utilizadores quando contactam a empresa.

No que respeita à segunda categoria, a DeepSeek afirma que “recolhe automaticamente certas informações” quando os utilizadores recorrem aos seus serviços, “incluindo informação de atividade na Internet ou outras atividades na rede, como o endereço IP, identificadores únicos de dispositivo e cookies”.

Incluem-se também dados sobre a “localização aproximada”, tendo em conta o endereço IP, “para motivos de segurança” e dados de pagamento, no caso de quem usa os serviços pagos da empresa.

Por fim, na última categoria, a empresa indica que pode recolher dados de fontes terceiras, como durante o log-in através de serviços terceiros (como os da Google ou Apple). A DeepSeek detalha também que recebe informação de parceiros de segurança e que pode obter informação publicamente disponível através de fontes online para treinar os seus modelos e fornecer serviços.

Onde é que os dados são armazenados e quem tem acesso?

Na sua política de privacidade, a empresa indica que a informação pessoal que recolhe “pode ser armazenada num servidor localizado fora do país onde o utilizador vive”. “Armazenamos a informação que recolhemos em servidores seguros localizados na República Popular da China”, afirma.

“Quando é requerido, usaremos medidas de segurança apropriadas para transferir informação pessoal para fora de certos países, incluindo para um ou mais propósitos estabelecidos nesta política, e faremos isso de acordo com os requerimentos das leis de proteção de dados aplicáveis”, indica o documento.

Note-se também que a empresa retém a informação recolhida “por quanto tempo for necessário” para fornecer os seus serviços e “para outros fins” apresentados na sua política de privacidade.

DeepSeek levanta suspeitas em Portugal. Proteção de Dados avalia a atividade da startup chinesa

Ver artigo

No entanto, como explica a DECO PROteste nos motivos que a levaram a submeter uma queixa acerca da atividade da DeepSeek junto da CNPD, “a lei chinesa obriga as empresas a fornecer às autoridades do Estado acesso a dados pessoais, sem garantias de transparência ou proporcionalidade”.

A organização aponta ainda que não existe informação suficiente sobre períodos de conservação de dados e categorias de dados pessoais, assim como que métodos é que os utilizadores têm para exercer os seus direitos.

A criação de perfil é outro dos aspectos em questão, com a DECO PROteste a indicar que a política de privacidade não esclarece se os dados dos utilizadores são usados para criar perfis ou para “alimentar mecanismos de tomada de decisão automatizada, nem fornece as garantias necessárias”.

Na sua política de privacidade, a DeepSeek afirma que os seus serviços “não se destinam a crianças com menos de 14 anos”, acrescentando que “não recolhe ativamente informação pessoal de crianças com menos de 14 anos”.

Por outro lado, a DECO PROTeste avança que não existe indicação sobre medidas de verificação de idade ou de tratamento de dados recolhidos de menores de idade sem consentimento dos pais.

As únicas menções feitas pela empresa indicam que, caso receba feedback acerca da recolha de informação de alguém que é menor de idade sem o seu consentimento, vai “tentar eliminar a informação assim que possível”. Surge também a indicação de que os utilizadores com menos de 18 anos e respectivos pais ou tutores devem ler a política de privacidade em conjunto antes do uso dos serviços da empresa.

É possível usar o chatbot da DeepSeek de maneira segura?

Anteriormente, o Centro Nacional de Cibersegurança (CNCS) já tinha deixado claro que “seja qual for a tecnologia digital, os utilizadores devem ter cuidados no que respeita aos serviços/produtos que usam e/ou subscrevem, nomeadamente procurar saber se os fornecedores são reconhecidos e de confiança no contexto nacional".

DeepSeek: CNCS recomenda cautela na escolha de fornecedores "seja qual for a tecnologia"

Ver artigo

Embora não faça uma referência direta à DeepSeek, o CNCS lembra que, relativamente à IA generativa, em particular aos LLM (Large Language Models, ou modelos de linguagem de grande escala em português), há um conjunto importante de medidas a colocar em prática.

Entre elas incluem-se "evitar partilhar dados sensíveis e/ou pessoais na interação com a ferramenta de IA generativa", "verificar noutras fontes a veracidade da informação disponibilizada pela ferramenta de IA generativa" e "escolher a ferramenta/tipo de subscrição de IA generativa obedecendo a uma análise de custo-benefício e privilegiando serviços com maior transparência".

"Não utilizar a IA generativa para fins maliciosos, como a geração de conteúdos enganadores" é outra das recomendações do CNCS.

Mas, e se quiser experimentar o chatbot da DeepSeek? Em declarações à NPR, Samm Sacks, investigadora da área de cibersegurança chinesa na Universidade Yale, deixa algumas recomendações. A investigadora sugere, por exemplo, não se registar na aplicação através de uma conta da Google ou Apple.

Se usar o chatbot, não partilhe informação pessoal nem dados sensíveis, realça Samm Sacks, acrescentando que, o uso de uma rede virtual privada (VPN) também poderá ser útil para esconder a sua localização.

Está a pensar usar o chatbot num contexto empresarial ou governamental? A investigadora desaconselha o uso nestes casos.